Работим по ясен обхват, договорени контакти и отчетност, за да превърнем техническите сигнали в конкретни решения.
Какво включва услугата
- Обхват по акаунти, проекти и абонаменти
- Одитни събития и сигнали за сигурност
- Контекст за идентичности и ресурси
- Съгласуване на достъп и ескалации
Облакът изисква видимост върху промените
Облачните среди се променят чрез конзоли, API, автоматизация и управлявани услуги. За анализа са важни следите кой е направил дадена промяна, върху кой ресурс, от какъв контекст и какво е последвало. Един и същ сигнал може да има различно значение според ролята на потребителя, предназначението на ресурса и планираните промени.
При началната оценка картографираме организационните единици, акаунтите или абонаментите, критичните приложения и наличните източници. Уточняваме и модела на споделена отговорност: доставчикът защитава услугите си, а клиентът управлява идентичностите, конфигурацията и данните според използваните услуги.
- Одитни записи за администраторски и свързани действия
- Сигнали от облачни услуги за защита и управление на състоянието
- Контекст за активи, роли, мрежи и собственици
- Проверка на покритието, часовите зони и пропуските в данните
Единен процес за различни доставчици
AWS, Google Cloud и Microsoft Azure предлагат собствени източници за одит и сигурност, но имената, форматите и обхватът им се различават. SIEM може да обедини избрани записи и сигнали, да ги нормализира и да улесни търсенето през няколко среди. За да работи надеждно, всяка връзка трябва да бъде проверена по разрешения, обем, забавяне и очаквано съдържание.
Не приемаме, че всяка облачна интеграция е автоматично налична или включена в услугата. Проверяваме конкретните продукти и издания, начина за достъп, ограниченията на API и изискванията за разходи и съхранение. Обхватът се потвърждава преди активиране.
Практична ескалация за облачен инцидент
При подозрителна промяна анализаторът събира свързаните събития и посочва засегнатите ресурси и идентичности. След това уведомява определените контакти с фактите, нивото на увереност и въпросите, които изискват потвърждение. Промени като отнемане на достъп или спиране на ресурс се съгласуват с клиента според критичността и предварително одобрените процедури.
Целта е да се намали времето между събитие и информирано решение, като се запазят необходимите следи и бизнес контекст. Периодичният преглед помага да се открият неочаквани празнини в наблюдението при добавяне на нов проект, услуга или екип.