Лаборатория харденинга облака

Нельзя захарденить то, что не измерил, а «вроде нормально» — это не базовая линия. Натрави опенсорсный CSPM-инструмент вроде Prowler или ScoutSuite на собственный аккаунт и дай ему перечислить posture: публичные бакеты, нараспашку открытые security groups, пользователей без MFA, незашифрованные тома, протухшие access-ключи. Пока ничего не чини — твоя единственная задача здесь честный снимок. Выгрузи находки, отсортируй их по радиусу поражения, а не по присвоенной инструментом severity, и выпиши три самых болезненных при эксплуатации. Этот снимок — половина «до» в каждом утверждении, которое ты сделаешь дальше; без него ты можешь только заявлять, что что-то улучшил, но не показать это.

Большинство облачных взломов — это проблема identity в сетевом костюме: роль с '*' в действиях и ресурсах, долгоживущий ключ, который должен был быть короткоживущей assumed-ролью. Найди слишком широкие гранты, отмеченные сканом, и перепиши их. Замени wildcard-действия на конкретные вызовы, которые рабочая нагрузка действительно делает, — прочитай access-логи или CloudTrail, чтобы узнать, чем она реально пользуется, а не угадывай. Предпочитай короткоживущее assume-role статическим ключам и убери постоянный admin у людей, которым он нужен лишь изредка. Сложность не в том, чтобы ужать, а в том, чтобы ужать, не сломав работающее приложение, — поэтому меняй по одному principal за раз и проверяй, что нагрузка ещё работает после каждого среза.

0.0.0.0/0 на порту базы данных — это приглашение, а «ограничим потом» — это то, как «потом» не наступает никогда. Пройдись по сетевой экспозиции, которую нашёл скан: security groups, правила фаервола, публичные IP на том, что должно быть приватным, и управляющие порты (SSH, RDP, база), достижимые из всего интернета. Сузь каждый до минимального источника, которому он реально нужен, — bastion, диапазон VPN, конкретный сервис. Поучительное напряжение в том, что минимальная экспозиция и удобство тянут в разные стороны: как только ты закроешь порт, что-то забытое может перестать работать, и эта поломка — карта твоих настоящих зависимостей. Задокументируй каждый закрытый путь и что теперь до него дотягивается.

Секреты в переменных окружения, закоммиченном конфиге или «на память» в user-data утекают в тот же миг, когда кто-то читает снимок или лог. Найди учётные данные, которые приложение гоняет в открытом виде, и перенеси их в управляемое хранилище секретов провайдера, забираемое в рантайме по identity, а не зашитое в образ. Зашифруй данные at rest через KMS и убедись, что у ключа своя жёсткая политика — хранилище секретов под нараспашку открытым KMS-ключом это театр. Затем сделай то, что все пропускают: проротируй хотя бы один секрет и докажи, что приложение переживает ротацию. Секрет, который ты не можешь проротировать, — это секрет, который ты не можешь отозвать при утечке, а значит он уже обязательство, а не контроль.

Харденинг, который потом никто не может проверить, — это вера, а не безопасность. Включи аудит-трейл уровня аккаунта (CloudTrail или его аналог), чтобы каждый вызов API оставлял запись, отправляй эти логи в место, устойчивое к подделке, и убедись, что удаление или изменение прав действительно в них появляется. Смысл не в том, чтобы читать логи целыми днями, — а в том, что когда что-то пойдёт не так в три ночи, разница между пятиминутной триажем и неделей гаданий в том, писались ли события до инцидента. Реши, что стоит логировать, а что шум, потому что трейл, по которому никто не может искать, лишь немногим лучше отсутствия трейла.

Всё до этого чинило прошлое. Этот этап чинит будущее, потому что posture гниёт в тот момент, когда коллега добавляет wildcard-роль или открывает порт «просто для теста». Напиши guardrail как policy-as-code — правило OPA/Rego поверх твоего Terraform-плана или Service Control Policy на границе организации, — которое отклоняет именно те плохие формы, что ты только что несколько дней вычищал. Затем докажи, что у него есть зубы: подай ему намеренно плохое изменение и посмотри, как оно блокируется, и хорошее изменение — и посмотри, как оно проходит. Это разница между безопасностью как разовой уборкой и безопасностью как свойством, которое система поддерживает сама. Guardrail, который никогда не говорит «нет», — украшение; ценность в том deny, который ты можешь продемонстрировать.