Bezpieczeństwo chmury i DevSecOps

Kontrola dostępu w chmurze opiera się na zarządzaniu tożsamościami, rolami, politykami oraz zasadą najmniejszych uprawnień. W praktyce warto sprawdzić strukturę kont i subskrypcji, przypisania ról, użycie MFA, dostęp uprzywilejowany oraz logi potwierdzające rzeczywiste wykorzystanie uprawnień. Przykładem jest rozdzielenie ról administracyjnych od operacyjnych i ograniczenie dostępu do S3, Azure Blob Storage lub zasobów GCP wyłącznie do wskazanych grup.
Ten temat przerabiamy praktycznie na szkoleniu: Kontrola i limitacja dostępu do zasobów chmurowych w AWS (SEC/IAM/AWS).

Wykrywanie incydentów w Azure polega na zbieraniu telemetrii, korelacji zdarzeń oraz analizie alertów z usług monitorujących i SIEM. Należy sprawdzić konfigurację Azure Monitor, Log Analytics, reguły analityczne w Microsoft Sentinel, źródła logów oraz procedury eskalacji i automatyzacji reakcji. Przykładem jest wykrycie nietypowych logowań, uruchomienie playbooka i powiązanie zdarzenia z próbą nieautoryzowanego dostępu.
Jeśli chcesz przećwiczyć to krok po kroku, zobacz: Incydenty bezpieczeństwa w Azure – wykrywanie i reakcja (SEC/THREAT/AZURE).

Bezpieczny pipeline CI/CD łączy skanowanie sekretów, analizę kodu, kontrolę zależności, weryfikację obrazów kontenerowych i bramki blokujące wdrożenia z wykrytymi podatnościami. Trzeba sprawdzić, czy repozytoria nie zawierają sekretów, czy skanery działają na odpowiednich etapach oraz czy wyniki wpływają na decyzję o publikacji artefaktów. Przykładem jest połączenie Gitleaks, Trivy, OWASP ZAP i skanowania IaC z regułą zatrzymującą release po wykryciu krytycznej luki.
Dokładnie ten zestaw narzędzi i workflow ćwiczymy podczas szkolenia: Integracja narzędzi bezpieczeństwa w CI/CD w Azure DevOps (SEC/ADO).

Najczęstsze błędy obejmują zbyt szerokie uprawnienia, brak MFA, błędną konfigurację przechowywania danych, niekontrolowane sekrety oraz pomijanie wymagań regulacyjnych. W pierwszej kolejności warto sprawdzić model odpowiedzialności dostawcy, ustawienia szyfrowania danych at-rest i in-transit, polityki dostępu oraz sposób reagowania na incydenty. Przykładem jest publicznie dostępny zasób dyskowy lub magazyn obiektów bez właściwej kontroli tożsamości i bez audytu dostępu.
Wersję warsztatową (z konfiguracją i przykładami) znajdziesz w programie szkolenia: Podstawy bezpieczeństwa chmurowego dla początkujących (SEC/CLOUD/INTRO).

Modelowanie zagrożeń porządkuje analizę ryzyka przez identyfikację przepływów danych, punktów zaufania, wektorów ataku i potencjalnych skutków naruszeń. Warto przygotować diagramy DFD, zastosować metody takie jak STRIDE lub PASTA oraz powiązać wyniki z backlogiem zabezpieczeń, kontrolami technicznymi i wymaganiami zgodności. Przykładem jest wykrycie ryzyka eskalacji uprawnień między komponentami aplikacji działającej częściowo on-premise i częściowo w chmurze.
To jedno z zagadnień omawianych podczas szkolenia: Modelowanie zagrożeń w chmurze i środowiskach hybrydowych (SEC/MODELING/CLOUD).

IAM w GCP służy do przypisywania ról i warunków dostępu, a MFA ogranicza ryzyko przejęcia kont oraz nieautoryzowanego użycia uprawnień. Należy sprawdzić role predefiniowane i niestandardowe, polityki warunkowe, integrację z Cloud Identity, logi audytowe oraz zgodność przypisań z zasadą least privilege. Przykładem jest przypisanie dostępu do projektu tylko dla określonej grupy, z ograniczeniem czasowym lub zależnym od kontekstu logowania.
Ten temat przerabiamy praktycznie na szkoleniu: Kontrola i limitacja dostępu do zasobów chmurowych w GCP (SEC/IAM/GCP).