Детект мисконфигураций

Две экспозиции, которые реально пробивают

Мисконфигурация — это ресурс, чьё эффективное состояние выдаёт доступ, которого не должно быть, и слово «эффективное» здесь несущее. Случай публичного бакета редко сводится к одному переключателю: достижимость S3-бакета — это разрешённая сумма его ACL, политики бакета, настройки Block Public Access на уровне аккаунта и любой политики access-point поверх. Инженер может оставить политику бакета закрытой и всё равно выставить наружу каждый объект, перещёлкнув один ACL объекта, потому что самый разрешающий грант побеждает, если только явный deny или ограждение Block Public Access его не перебьёт. Вот почему «мы проверили политику, она в порядке» — это не то же самое, что «бакет приватный».

Случай открытого сервиса — та же форма на другом ресурсе. Управляемая БД, кэш Redis, внутренняя админ-панель, узел Elasticsearch — каждый должен жить за приватной подсетью или жёстким allowlist. Мисконфиг — это ingress security-group (или правило NSG, или правило файрвола) с источником 0.0.0.0/0, дотягивающийся до чувствительного порта: 5432, 3306, 6379, 9200, 27017. Ущерб не теоретический: достижимую из интернета базу находят массовые сканеры — Shodan, Censys и флот ботов подбора учёток — обычно за часы после выхода в онлайн, а не за недели. Решает окно экспозиции, а не изощрённость эксплойта.

Как на самом деле работает детект

Детект механически — это обход: принять read-only роль в каждом аккаунте, вызвать describe/list API (GetBucketPolicyStatus, GetPublicAccessBlock, DescribeSecurityGroups, DescribeNetworkAcls), разрешить эффективную экспозицию каждого ресурса и выдать находку, когда она пересекает правило. Трудная часть — не вызовы API, а корректный расчёт эффективного доступа. Наивное правило, читающее только политику бакета, упускает путь через ACL объекта; наивное правило по security-group, флагующее ingress 0.0.0.0/0, упускает, что инстанс может стоять в приватной подсети без маршрута к интернет-шлюзу, делая открытое правило безвредным — это ложноположительное срабатывание, которое, повторённое тысячу раз, приучает команду игнорировать инструмент.

Поэтому зрелый инженер считает задержку детекта ключевой метрикой. Инструмент CSPM, обходящий ресурсы раз в 24 часа, оставляет 24-часовое окно, в котором публичный бакет полностью открыт, а ты об этом не знаешь. Событийный детект — привязка событий об изменении конфигурации (CloudTrail, правила AWS Config, EventBridge) к оценке ресурса в момент его изменения — схлопывает это окно с часов до секунд. Но даже секунды — это окно, а окно — это шанс. Что приводит к настоящему уроку.

Превенция бьёт детект

Детект отвечает на «совершил ли кто-то эту ошибку?» постфактум. Превентивный контроль — ограждение — отвечает «эту ошибку нельзя совершить» до факта. Канонический пример — Block Public Access для S3 на уровне аккаунта: с ним никакая политика бакета, ACL или грант объекта не сделают ни один бакет публичным, точка. Вызов API, который создал бы публичный грант, отклоняется. Окна экспозиции нет, потому что «публично» никогда не было достижимым состоянием. Сравни с правилом детекта, которое находит публичные бакеты, и раннбуком, который их закрывает: подход на детекте имеет окно, зависит от того, прочтёт ли кто-то алерт, и срабатывает снова каждый раз, когда новый инженер делает ту же ошибку.

Механизм, делающий превенцию масштабируемой по всей организации, — это политика-ограждение, навязанная над аккаунтом: AWS Service Control Policies (SCP) на уровне Organization, Azure Policy с эффектом deny или ограничения GCP Organization Policy. Они оцениваются до создания или изменения ресурса и отклоняют действие напрямую — s3:PutBucketPublicAccessBlock, который отключил бы блок; правило ingress с 0.0.0.0/0 на порту БД; назначение публичного IP инстансу базы. Ограждение на уровне организации нельзя обойти инженеру с admin в отдельном аккаунте — ровно то свойство, которого детекту не хватает.

Как зрелый инженер выстраивает контроли по порядку

Перед лицом «у нас постоянно появляются публичные бакеты» рефлекс джуна — купить сканер и написать раннбук. Рефлекс зрелого инженера — спросить, почему это состояние вообще достижимо, и продвинуть контроль настолько влево и настолько вверх, насколько он дотянется: орг-ограждение, запрещающее опасное действие, затем гейт IaC, чтобы ошибка падала на ревью с привязанным владельцем кода, затем событийный детект для консольных путей, которых гейт не видит, затем периодический обход как финальная подстраховка для всего, что верхние слои упустили. Каждый нижний слой существует лишь чтобы ловить сбои слоя над ним. Детект сам по себе никогда не ответ — это признание, что превенция несовершенна, развёрнутое осознанно как сетка, а не как пол.