Bezpieczeństwo IT
Większość incydentów zaczyna się od czegoś zwyczajnego, czego nikt nie pilnował. Dbamy o aktualizacje, backupy, dostępy i certyfikaty w systemach, którymi się opiekujemy.
Bezpieczeństwo jako opieka, a nie projekt
O bezpieczeństwie mówi się zwykle jak o wydarzeniu. Audyt, testy penetracyjne, projekt z początkiem i końcem. To ma swoje miejsce i wyłapuje rzeczy, których nic innego nie wyłapie. Ale incydenty, które faktycznie spotykają zwykłe firmy, rzadko polegają na pomysłowym ataku na dobrze utrzymany system.
Polegają na niewspieranej wtyczce, dla której publiczny exploit istniał od roku. Na backupie, który po cichu nie wykonywał się od czasu zapełnienia dysku. Na koncie administratora osoby, która odeszła dwa lata temu. Na certyfikacie, który wygasł w niedzielę. Nic z tego nie jest egzotyczne i wszystko bierze się z tego, że nikt nie odpowiadał za nudną, ciągłą część.
Ta ciągła część jest właśnie tym, co tu obejmujemy, dla systemów, które utrzymujemy. Nie zastępuje porządnego audytu. Zapobiega zwyczajnym problemom, które audyty raz po raz znajdują.
Backupy, z których ktoś już odzyskiwał dane
Backup to obietnica dotycząca przyszłości, a większość takich obietnic nigdy nie zostaje sprawdzona. Sposoby, w jakie zawodzą, są powtarzalne i mało efektowne. Baza jest w kopii, ale wgrane pliki już nie, więc sklep wraca bez zdjęć produktów. Okres przechowywania okazuje się krótszy niż czas, po którym zauważono problem. Zadanie nie wykonuje się od tygodni, a powiadomienie o błędzie idzie na skrzynkę, której nikt nie czyta. Albo technicznie wszystko jest w porządku, tylko procedury odtworzenia nikt nigdy nie przeszedł, więc pierwsze podejście odbywa się pod presją, przy ludziach czekających na efekt.
Test odtworzenia traktujemy jako część pracy, a nie jako dodatek. Odzyskiwanie przeprowadzamy poza produkcją, spisujemy kroki i notujemy, ile to trwa, żeby było jasne, co właściwie obiecujesz firmie.
Łatanie i ocena, która musi je poprzedzić
Wgrywanie każdej aktualizacji natychmiast nie jest strategią. Niewgrywanie żadnej też nie. Jedno i drugie prowadzi do niestabilności, tylko w innej skali czasu.
Wersja, która działa, ma dwa tory. Rutynowe aktualizacje wchodzą w ustalonym rytmie, małymi partiami, dzięki czemu każdą łatwo przetestować i łatwo wskazać przyczynę, gdy coś się przesunie. Wszystko, co ma znaną i istotną podatność, wyprzedza kolejkę.
Kluczowe jest tu słowo „istotną”. Przy dowolnym współczesnym stacku napływa stały strumień komunikatów o podatnościach i spora ich część nie ma zastosowania: podatna ścieżka kodu nie jest u Ciebie wywoływana albo konfiguracja, która ją uruchamia, nie jest u Ciebie używana. Traktowanie każdego ogłoszenia jak alarmu wyczerpuje zespół i uczy go ignorować następne. Ocena wagi zgłoszenia jest więc pracą samą w sobie i wykonuje się ją przed łataniem.
Rzeczy, które wygasają po cichu
Osobna kategoria awarii bierze się z dat. Certyfikaty wygasają. Domeny nie zostają przedłużone. Klucze API mają termin ważności, którego nikt nie zanotował. Karta płatnicza podpięta do krytycznej infrastruktury traci ważność.
Każdej z tych sytuacji da się uniknąć, a mimo to są jedną z najczęstszych przyczyn tego, że firma budzi się ze stroną, która się nie otwiera. Spisanie terminów odnowień i trzymanie ich gdzieś indziej niż w kalendarzu jednej osoby nie jest wyrafinowaną pracą, ale usuwa realną klasę awarii.
To samo dotyczy dostępów. Ludzie przychodzą, zmieniają role i odchodzą, a uprawnienia narastają w jedną stronę, jeśli nikt świadomie ich nie przegląda. Ten przegląd wiążemy ze zdarzeniami, które go wywołują, bo przeglądy zaplanowane w oderwaniu od zmian są pierwszą rzeczą odpuszczaną w pracowitym miesiącu.
Gdzie kończy się ten zakres
Warto jasno postawić granicę. Ta usługa utrzymuje systemy w rozsądnym stanie dzięki regularnej pracy. Nie obejmuje testów penetracyjnych, przeglądu logiki aplikacji pod kątem nadużyć, projektowania segmentacji sieci, zarządzania flotą komputerów ani formalnego planu ciągłości działania z uzgodnionymi parametrami odtwarzania.
Dla części firm to realne potrzeby i należą do naszej usługi cyberbezpieczeństwa, a nie tutaj. Jeśli podstawowa praca ujawni coś, co wymaga tej głębokości, powiemy to wprost, zamiast naciągać bieżące utrzymanie do zadania, do którego nie było przewidziane.
Co dostajesz
Backupy, które ktoś odtworzył
Automatyczne kopie baz danych, plików i konfiguracji plus okresowe testy odtworzenia, bo backup, z którego nikt nigdy nie odzyskiwał danych, jest założeniem, a nie zabezpieczeniem.
Łatanie zależności i systemów
Biblioteki, frameworki, obrazy kontenerów i pakiety systemowe sprawdzamy pod kątem znanych podatności i aktualizujemy w ustalonym rytmie, a pilne przypadki wyciągamy przed kolejkę.
Odnawianie certyfikatów i domen
Certyfikaty TLS, rejestracje domen i wpisy DNS mamy spisane i odnawiane przed terminem, co usuwa jedną z bardziej wstydliwych kategorii awarii.
Porządek w dostępach
Konta, role i klucze API przeglądamy przy zatrudnieniach i odejściach, żeby uprawnienia nie zostawały po cichu po osobach, które już nie pracują.
Przechowywanie i rotacja sekretów
Hasła i klucze leżą w menedżerze haseł albo w magazynie sekretów, a nie w repozytorium i na czacie, i są rotowane, gdy odchodzi osoba, która je znała.
Krótki obraz ryzyk
Zwykła lista tego, gdzie faktycznie jesteś narażony i w jakiej kolejności warto się tym zająć, żeby wydatki na bezpieczeństwo szły za faktami, a nie za niepokojem.
Jak pracujemy
- 01
Ustalamy stan wyjściowy
Sprawdzamy, co jest wystawione do internetu, na jakich wersjach działa, gdzie leżą dane, kto ma dostęp i czy backupy istnieją oraz działają.
- 02
Najpierw rzeczy oczywiste
Publicznie dostępne usługi na niewspieranych wersjach, brakujące backupy, hasła w repozytorium i konta administracyjne byłych pracowników idą przed czymkolwiek wyrafinowanym.
- 03
Ustawiamy rytm aktualizacji
Umawiamy, jak wchodzą rutynowe aktualizacje i jak obsługujemy pilne poza tym cyklem, a potem to prowadzimy, żeby łatanie przestało zależeć od czyjejś pamięci.
- 04
Testujemy odtwarzanie
Odtworzenie danych wykonujemy na środowisku poza produkcją i spisujemy kroki, żeby odzyskiwanie było opisaną procedurą, a nie improwizacją pod presją.
- 05
Przeglądamy po zmianach
Nowe integracje, nowe środowiska i zmiany kadrowe przesuwają poziom narażenia, więc przegląd dostępów i obraz ryzyk aktualizujemy razem ze zmianą.
Narzędzia i technologie
Tam, gdzie istnieje dobre narzędzie open source, wybieramy je zamiast zamkniętego. Bez uzależnienia od jednego dostawcy i z kosztami, które da się przewidzieć.
- Renovate
- Trivy
- OWASP ZAP
- Restic
- pgBackRest
- Wazuh
- Let's Encrypt
- Docker
- Dependabot
- Cloudflare
- 1Password
- Sentry
Najczęściej zadawane pytania
Pozostałe usługi w tej kategorii
Porządkowanie infrastruktury
Infrastruktura, która rosła decyzja po decyzji, źle znosi zmiany. Sprawdzamy, co naprawdę masz, wyłączamy to, czego nikt nie pilnuje, a resztę opisujemy.
Zarządzanie usługami i konfiguracja środowisk
Większość awarii zaczyna się od konfiguracji, która po cichu się rozjechała. Dbamy o to, żeby Twoje środowiska były spójne, aktualne i opisane na tyle dobrze, by zmiana przestała być loterią.
Wsparcie istniejących rozwiązań
Nie każdy system trzeba wymieniać. Większość potrzebuje kogoś, kto wie, jak działa, pilnuje aktualizacji i naprawia usterki, zanim staną się pilne.
Przeczytaj opinie firm, które nam zaufały
Dostarczone znacznie wcześniej niż termin.
Indywidualne podejście ZanReal jest imponujące.
Wiedza i intuicja biznesowa czynią ich wartościowym partnerem.
Szybkie rozwiązania, które obniżyły koszty o 99%.
+20% dostarczalności dla naszych kampanii e-mail.
Najnowsze
Poradniki techniczne, bezpieczeństwo i nasze doświadczenia z budowania rozwiązań AI.
Ciekawi Cię, co dalej?
Zobacz wszystkie postyKiedy ostatnio testowano odtwarzanie kopii zapasowej?
Napisz do nasNapisz, na czym działają Twoje systemy i co najbardziej Cię niepokoi, a zaczniemy od podstaw: backupów, aktualizacji, dostępów i certyfikatów.
Nie nadążasz za zmianami w świecie AI?
Pozwól, że weźmiemy to na siebie. Co tydzień destylujemy najważniejsze wydarzenia ze świata AI w skupiony, 5-minutowy przegląd — żebyś był na bieżąco bez szumu.
Dowiedz się więcej