ביקורת אבטחת תשתית ענן: פירוט מלא

למה אתם צריכים בדיקת אבטחת תשתית ענן?

בדקנו פרויקט מסחר אלקטרוני גדול ומצאנו 47 פרצות קריטיות ביומיים הראשונים. ממצאים אופייניים לבדיקה ראשונה: דלי S3 עם גישה ציבורית שנשאר מהשנה שעברה, תפקיד IAM עם מדיניות *:* לשירות שרק היה צריך s3:GetObject, וקבוצת אבטחה עם 0.0.0.0/0 על פורט 22 ב-VPC הייצור. אלה לא מקרים בודדים—ניתוח מראה כי ל-94% מהחברות יש לפחות פרצה קריטית אחת בתשתית הענן שלהן. בדיקת אבטחה מזהה אותן לפני שתוקפים מנצלים אותן. או אחרי שכבר קיבלתם הודעה מ-AWS Trusted Advisor על גישת S3 ציבורית. הזמינו בדיקה וקבלו תוכנית תיקון תוך 1–2 שבועות.

מה כוללת בדיקת אבטחת תשתית ענן

הבדיקה מכסה מספר מישורים בו-זמנית: IAM, אבטחת רשת, הגנת מידע, ניטור ותאימות. אנו בודקים תפקידים עם הרשאות יתר, דלי S3 ציבוריים, דיסקים לא מוצפנים, CloudTrail חסר וסטיות מ-CIS Benchmarks. Prowler מוצא 30% יותר בעיות מאשר ScoutSuite, במיוחד ב-IAM. בנוסף, אנו בודקים תאימות לתקנים כמו PCI DSS או SOC 2.

ניהול זהויות וגישה (Identity & Access Management) — תפקידים עם הרשאות יתר, אישורים שאינם בשימוש, MFA חסר לחשבונות root/admin, תפקידים בין-חשבוניים עם הרשאות מופרזות, מפתחות חשבון שירות במאגרי קוד (באמצעות git-secrets, truffleHog).

אבטחת רשת — קבוצות אבטחה/כללי חומת אש עם גישה מתירנית מדי, רשתות משנה ציבוריות עם מופעים, VPC Flow Logs חסרים, תעבורה לא מוצפנת בין שירותים.

הגנת מידע — כרכים EBS/GCS/Azure Disk לא מוצפנים, דלי S3 ציבוריים, RDS ללא הצפנה במנוחה, סודות במשתני סביבה במקום Vault/SSM.

באילו כלים משתמשים לבדיקה?

אנו משתמשים בשילוב של כלים:

Prowler מופעל עם:

prowler aws --compliance cis_2.0_aws pci_3.2.1_aws \
  --output-formats json html csv \
  --output-directory reports/ \
  --severity critical high

ScoutSuite עבור Azure:

scout azure --cli --subscription-id $SUBSCRIPTION_ID --report-dir reports/ 

Checkov עבור IaC:

checkov -d terraform/ --framework terraform --compact --output cli json --output-file-path reports/ 

CloudSploit נפרס תוך 10 דקות.

איך להתכונן לבדיקה: שלב אחר שלב

1. ספקו גישת קריאה בלבד לחשבונות הענן (תפקיד IAM עם הרשאות מוגבלות, כמו בדוגמה למטה).
2. העניקו גישה למאגרי IaC (Terraform, CloudFormation).
3. עדכנו אותנו על שירותים קריטיים וחריגים.
4. תאמו חלון זמן לאיסוף נתונים (בדרך כלל 1–2 ימים ללא עומס).

דוגמת מדיניות IAM לבדיקת AWS לקריאה בלבד:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:Describe*",
        "s3:GetBucketPolicy",
        "s3:GetBucketAcl",
        "s3:ListAllMyBuckets",
        "iam:Get*",
        "iam:List*",
        "cloudtrail:GetTrail*",
        "config:Get*",
        "securityhub:Get*"
      ],
      "Resource": "*"
    }
  ]
}

איך מתנהלת הבדיקה

שלב איסוף הנתונים (1–2 ימים) — בדיקת אבטחת תשתית ענן

גישת קריאה בלבד לחשבון הענן. הפעלת סורקים אוטומטיים—Prowler, ScoutSuite, Checkov עבור IaC. סקירה ידנית של מדיניות IAM על שירותים קריטיים. סריקת git-secrets / truffleHog במאגרים לאישורים שנכללו בקוד.

שלב ניתוח ותיעדוף (2–3 ימים)

הסורקים האוטומטיים מייצרים מאות ממצאים. המשימה: להסיר תוצאות חיוביות שגויות, לקבץ לפי קטגוריה ולתעדף לפי סיכון אמיתי. תפקיד IAM עם prowler aws --compliance cis_2.0_aws pci_3.2.1_aws --output-formats json html csv --output-directory reports/ --severity critical high עבור Lambda ללא גישת VPC הוא קריטי ב-Prowler אך הסיכון האמיתי הוא בינוני. דלי S3 ציבורי עם לוגים הוא בינוני בסורק אך הסיכון האמיתי גבוה. למהנדסים שלנו יש ניסיון של 10+ שנים והם ביצעו למעלה מ-50 בדיקות, כך שאנו מבחינים בין קריטי למשני.

שלב דוח ותוכנית תיקון

הדוח הסופי מכיל סיכום מנהלים, רשימת ממצאים מפורטת עם דירוג סיכון, ראיות ופקודות Terraform/CLI לתיקון. אנו מספקים מפת דרכים: מה לתקן מיד, מה לטפל בסבב הבא, ומה היא עבודה מתוכננת. ציר זמן: 1–2 שבועות מהגישה הראשונה ועד לדוח הסופי עם תוכנית תיקון.

פרצות אופייניות והסיכון שלהן

ממצאים אופייניים בבדיקה הראשונה

מהניסיון—מה שמופיע כמעט תמיד:

• מפתחות גישה פעילים של AWS לחשבון root (חוסם תאימות CIS 1.4—מופיע ב-60% מהמקרים)
• משתמשי IAM עם גישה פרוגרמטית ללא סיבוב מפתחות > 90 יום
• קבוצות אבטחה עם scout azure --cli --subscription-id $SUBSCRIPTION_ID --report-dir reports/ עבור TCP 3389 (RDP) או 22 (SSH) בייצור
• S3 Block Public Access לא מופעל ברמת החשבון
• CloudTrail לא מופעל בכל האזורים
• צילומי EBS עם גישה ציבורית (לעתים קרובות מתעלמים מהם)
• משתני סביבה של Lambda עם מפתחות API בטקסט פשוט

כל אחד מאלה יכול להוביל לפרצות מידע. העלות הממוצעת של פרצת מידע בענן היא 4.5 מיליון דולר (לפי מחקרים). השבתה ממתקפת סייבר יכולה לעלות על 10,000 דולר לשעה. הלקוחות שלנו חוסכים עד 60% בעלויות תקלות לאחר תיקון הבעיות הללו. צרו קשר כדי להזמין בדיקה ולקבל ייעוץ.