Služby zabezpečení cloudu
Služby zabezpečení cloudu pro AWS, Azure a Google Cloud: bezpečnostní posouzení, zavádění CSPM a CNAPP, revize IAM a přístupů, zabezpečení Kubernetes a kontejnerů, ochrana sítě a dat a základní linie souladu v cloudu, s dedikovanými inženýry zabezpečení cloudu pro váš tým nebo s projekty zabezpečení cloudu dodanými od začátku do konce.
Služby zabezpečení cloudu, které poskytujeme
Bezpečnostní posouzení cloudu
Revize vašich účtů AWS, Azure nebo Google Cloud jen pro čtení podle CIS Foundations Benchmarks a bezpečnostního pilíře Well-Architected Frameworku každého poskytovatele, pokrývající identity, expozici sítě, šifrování, logování a zálohy, dodaná jako písemný seznam rizik v pořadí podle dopadu.
Zavádění CSPM a CNAPP
Wiz, Microsoft Defender for Cloud, Cortex Cloud, Orca nebo open-source Prowler připojený ke každému účtu a předplatnému, zjištění směrovaná týmu, který každý zdroj vlastní, attack paths seřazené podle toho, co je dostupné z internetu, a každé přijaté riziko zaznamenané s vlastníkem a datem expirace.
Revize IAM a přístupů
Nepoužívané role, oprávnění a přístupové klíče nalezené pomocí IAM Access Analyzer, Google Cloud IAM recommender a revizí přístupů v Entra ID, trvalá administrátorská práva nahrazená just-in-time povýšením přes Entra Privileged Identity Management nebo Google Cloud Privileged Access Manager a každé přihlášení člověka převedené na jednotné přihlášení s MFA odolnou proti phishingu.
Zabezpečení Kubernetes a kontejnerů
Clustery zkontrolované podle CIS Kubernetes Benchmark nástroji kube-bench a Kubescape, obrazy skenované v registru a podepsané pomocí Sigstore cosign, admission policies, které odmítnou privilegované nebo nepodepsané workloady, a Falco sledující běžící kontejnery kvůli shellům, neočekávaným spojením a změněným binárkám.
Guardraily a policy as code
Service control policies, Azure Policy a organizační politiky Google Cloud, které blokují veřejné buckety, nešifrované disky a zdroje v neschválených regionech, s politikami Checkov nebo OPA v pull requestu, takže chybná konfigurace se zachytí dříve, než ji Terraform aplikuje.
Zabezpečení cloudové sítě
Databáze a úložiště dosažitelné jen přes soukromé endpointy, filtrovaný odchozí provoz, AWS WAF, Azure Web Application Firewall nebo Cloud Armor s ochranou proti DDoS před veřejnými službami a interní nástroje publikované přes Identity-Aware Proxy, Entra Private Access nebo Cloudflare Access místo VPN.
Ochrana dat a správa klíčů
Citlivá data nalezená v bucketech a databázích pomocí Amazon Macie, Microsoft Purview nebo Sensitive Data Protection, šifrování klíči spravovanými zákazníkem v KMS, Key Vault nebo Cloud KMS s rotací a zálohy držené v neměnných trezorech, které odcizený administrátorský účet nesmaže.
Tajné údaje a identita workloadů
Přihlašovací údaje přesunuté z kódu, proměnných a obrazů do Secrets Manager, Key Vault, Secret Manager nebo HashiCorp Vault, skenování tajných údajů s push protection v každém repozitáři a pipeline a služby přihlašující se přes workload identity federation, takže nezůstává žádný dlouhodobý klíč, který by mohl uniknout.
Základní linie souladu v cloudu
Účty průběžně měřené podle sad kontrol CIS, NIST SP 800-53, PCI DSS nebo ISO 27001 přes AWS Config conformance packs, regulatorní soulad v Azure Policy a Security Command Center, s daty uchovávanými v regionech EU tam, kde to GDPR nebo smlouva se zákazníkem vyžaduje.
inženýři zabezpečení cloudu do vašeho týmu
Dedikovaní inženýři zabezpečení cloudu
Inženýři zabezpečení cloudu, kteří nastoupí do vašeho týmu na plný úvazek, pracují ve vašich nástrojích a procesu a zodpovídají se vašemu vedoucímu. Pohovor s nimi vedete vy; my neseme ukrajinskou smlouvu, mzdy, fakturaci a dovolenou.
Projekty v oblasti „Zabezpečení cloudu“
Vymezená část práce v oblasti „zabezpečení cloudu“ s rozsahem, pevným plánem a jmenovaným vedoucím na naší straně, který odpovídá za výsledek a o postupu informuje ve vašich kanálech.
Průběžná spolupráce v oblasti „zabezpečení cloudu“
Průběžná služba v oblasti „Zabezpečení cloudu“: každý měsíc stejní lidé, backlog, kterému určujete priority, a hodiny, které vidíte v našem portálu i na faktuře.
Stránka o dedikovaném týmu vysvětluje, jak se specialisté připojují k vašemu týmu, a stránka o outsourcingu pokrývá dodávku projektů, převzetí systémů a jak účtujeme.
Kdo pracuje na vašem zadání v oblasti „zabezpečení cloudu“
Inženýři zabezpečení cloudu
Stav zabezpečení, identita, síť a ochrana dat
Cloud a DevOps inženýři
Opravy psané jako změny v Terraformu a pipeline
Inženýři zabezpečení Kubernetes
Benchmarky clusterů, admission policies a detekce za běhu
Penetrační testeři
Útoky na cloudové účty a aplikace v nich
Bezpečnostní architekti
Revize návrhu landing zone, identity a sítě
Jak pracujeme na zabezpečení cloudu
Práce začíná přístupem jen pro čtení přes roli, kterou vytvoříte a můžete odvolat, a každá fáze končí zjištěními seřazenými podle toho, čeho by útočník mohl dosáhnout. Opravy přicházejí jako pull requesty do vašeho kódu v Terraformu, Bicep nebo CDK a do vašich pipeline, takže každá změna je zrevidovaná, opakovatelná a nevrátí se zpět při příští úpravě nastavení v konzoli.
Nástroje pro posture najdou chybnou konfiguraci, penetrační test ukáže, co s ní útočník dokáže, a bezpečnostní monitoring zachytí pokus, proto tyto tři propojujeme: zjištění s vysokým rizikem se po opravě znovu testují a nejrizikovější attack paths dostanou detekční pravidlo ve vašem SIEM. Naše vlastní platforma běží podle stejných pravidel: každý zdroj v Terraformu, GitHub Actions s federovanými přihlašovacími údaji a akcemi připnutými podle hashe, tajné údaje jen v Key Vault, firewally s výchozím zákazem a detekce driftu podle plánu.
Další služby cloudu, DevOps a bezpečnosti
Vývoj na AWS
Služby vývoje na AWS: kontejnery EKS a ECS, serverless, landing zones, migrace, databáze, datové platformy, generativní AI v Bedrock, bezpečnost a optimalizace nákladů, s dedikovanými inženýry AWS nebo dodávkou projektu.
Vývoj na Google Cloudu
Služby vývoje na Google Cloudu: Cloud Run a GKE, BigQuery, backendy ve Firebase, Cloud SQL a AlloyDB, Gemini na Agent Platform, bezpečnost a migrace, s dedikovanými inženýry Google Cloudu nebo dodávkou projektu.
Poradenství pro Kubernetes
Poradenství a vývoj pro Kubernetes: clustery na EKS, AKS, GKE i on premises, Helm, GitOps s Argo CD nebo Flux, zabezpečení clusterů, upgrady a úlohy s GPU, s dedikovanými inženýry Kubernetes nebo dodávkou projektu.
DevOps a CI/CD
Služby DevOps a CI/CD: pipeline, Terraform a infrastruktura jako kód, observabilita, SRE a pohotovost (on-call), DevSecOps, platform engineering a FinOps, s dedikovanými inženýry DevOps a SRE nebo průběžnou prací DevOps.
Kybernetická bezpečnost a pentesty
Služby kybernetické bezpečnosti a penetračního testování: pentesty webu, mobilu, API, sítě a cloudu, revize zabezpečení kódu, SOC a reakce na incidenty, ISO 27001 a SOC 2, s dedikovanými bezpečnostními inženýry nebo vymezenými projekty.
IT infrastruktura
Služby IT infrastruktury a správy systémů: servery s Windows a Linuxem, sítě, Microsoft 365 a Entra ID, virtualizace, zálohy a telekomunikace, s dedikovanými správci systémů nebo průběžnou podporou.
Site reliability engineering
Služby site reliability engineeringu: SLO, observabilita s OpenTelemetry, pohotovost a řízení incidentů, zátěžové testování, disaster recovery a chaos engineering, s dedikovanými inženýry SRE nebo dodávkou projektu.
Platform engineering
Služby platform engineeringu: interní vývojářské platformy, portály Backstage, golden paths a šablony, samoobslužná infrastruktura a platformy Kubernetes, s dedikovanými platform inženýry nebo dodávkou projektu.
Cloudová architektura
Služby cloudové architektury a poradenství: návrhy pro AWS, Azure a Google Cloud, plány migrace, landing zones, revize Well-Architected, odolnost a náklady, s dedikovanými cloudovými architekty nebo dodávkou projektu.
FinOps
Služby FinOps a optimalizace cloudových nákladů: alokace nákladů, správné dimenzování, savings plans a rezervace, náklady na Kubernetes, data a AI, rozpočty a upozornění na anomálie, s dedikovanými inženýry FinOps nebo dodávkou projektu.
Terraform a IaC
Služby Terraformu a infrastruktury jako kód: moduly Terraform a OpenTofu, importy, pipeline plan a apply, kontrola driftu, policy as code a Ansible, s dedikovanými inženýry Terraformu nebo dodávkou projektu.
Administrace Linuxu
Služby administrace Linuxu: servery s Ubuntu, Debianem, RHEL, Rocky Linuxem a AlmaLinuxem nastavené, záplatované, zabezpečené (hardening), monitorované a zálohované a upgrady po konci podpory, s dedikovanými správci Linuxu nebo průběžnou podporou.
Síťové inženýrství
Služby síťového inženýrství: směrování a přepínání, firewally, SD-WAN a přístup zero-trust, cloudové sítě, Wi-Fi a automatizace na Cisco, Juniper a Fortinet, s dedikovanými síťovými inženýry nebo dodávkou projektu.
SOC a bezpečnostní monitoring
SOC jako služba a bezpečnostní monitoring: spravovaný SOC, nasazení SIEM, napojení logů, detection engineering, EDR, threat hunting a retainery pro reakci na incidenty, s dedikovanými analytiky SOC nebo průběžným monitoringem.
Bezpečnostní compliance
Bezpečnostní compliance a příprava na audit: kontroly ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 a DORA, gap analýzy a důkazy pro audit, s dedikovanými inženýry compliance nebo projektem přípravy.
Dotazy k zabezpečení cloudu
V jakých oborech vaši inženýři zabezpečení cloudu pracují?
Většinou ve fintechu, bankovnictví a pojišťovnictví, kde cloudové účty spadají do rozsahu PCI DSS a DORA; u firem kybernetické bezpečnosti, které provozují vlastní produkty v cloudu; u poskytovatelů cloudu, hostingu a telekomunikací; v e-commerce a retailu, kde chrání pokladnu a data zákazníků; u SaaS společností odpovídajících na bezpečnostní revize svých zákazníků; u zdravotnických produktů, které uchovávají data pacientů; u AI a datových produktů s velkými datovými úložišti a endpointy modelů; a u průmyslových a energetických firem napojujících data ze závodů do cloudu.
Je bezpečnostní posouzení cloudu totéž co penetrační test?
Ne. Posouzení čte vaši konfiguraci zevnitř s přístupem jen pro čtení a najde, co je chybně nastaveno napříč všemi účty. Penetrační test útočí na vaše aplikace a účty zvenčí, na základě písemného oprávnění, aby ukázal, co lze skutečně zneužít. Mnoho klientů začíná posouzením a navazuje testem nejrizikovějších cest a provádíme obojí.
S jakými nástroji CSPM nebo CNAPP pracujete?
Microsoft Defender for Cloud, AWS Security Hub a Google Security Command Center, které jsou součástí příslušných cloudů; Wiz, Cortex Cloud a Orca, které pokrývají více cloudů v jedné konzoli; a open-source Prowler, který spouští kontroly CIS bez licence. Nasadíme, vyladíme a provozujeme, který si vyberete, a opravy držíme ve vašem kódu infrastruktury.
Jak rychle mohou nastoupit inženýři zabezpečení cloudu?
Když je k dispozici ten pravý inženýr zabezpečení cloudu, začátek brzdí jen váš pohovor, NDA a převod práv duševního vlastnictví. Jinak vedeme hledání, které obvykle přinese profily kandidátů do dvou až tří týdnů, a nikdo nenastoupí, dokud neřeknete ano.
Jak probíhá najímání přes BigTree108 (role: inženýři zabezpečení cloudu)?
Řekněte nám, jakou práci, jakou seniority a kolik hodin potřebujete. Navrhneme jednoho nebo dva lidi s jejich profily, pohovoříte s nimi stejně jako s vlastním zaměstnancem a podepíšete jednu smlouvu s BIG TREE 108 LLC a budete dostávat jednu fakturu měsíčně.
Komu patří práce, kterou vytvářejí?
Vám. Každý specialista má podepsanou smlouvu s BigTree108, která převádí všechny výsledky práce na společnost, a naše smlouva s vámi je převádí dál. Kód, návrhy a dokumenty se dodávají do vašich vlastních repozitářů a nástrojů, ne do míst, kde je můžeme měnit jen my.
Potřebujete zrevidovat své cloudové účty?
Sdělte nám, které cloudy používáte, kolik účtů nebo předplatných provozujete a na jaký audit nebo zákaznickou revizi se připravujete. Do jednoho pracovního dne dostanete odpověď: rozsah posouzení, plán práce nebo profily kandidátů.