Usługi bezpieczeństwa chmury
Usługi bezpieczeństwa chmury dla AWS, Azure i Google Cloud: oceny bezpieczeństwa, wdrożenia CSPM i CNAPP, przeglądy IAM i dostępów, bezpieczeństwo Kubernetes i kontenerów, ochrona sieci i danych oraz bazowe wymagania zgodności w chmurze, z dedykowanymi inżynierami bezpieczeństwa chmury w Państwa zespole lub projektami bezpieczeństwa chmury realizowanymi od A do Z.
Usługi bezpieczeństwa chmury, które świadczymy
Oceny bezpieczeństwa chmury
Przegląd Państwa kont AWS, Azure lub Google Cloud w trybie tylko do odczytu względem CIS Foundations Benchmarks i filaru bezpieczeństwa Well-Architected Framework każdego dostawcy, obejmujący tożsamość, ekspozycję sieciową, szyfrowanie, logowanie i kopie zapasowe, dostarczony jako pisemna lista ryzyk w kolejności wpływu.
Wdrożenia CSPM i CNAPP
Wiz, Microsoft Defender for Cloud, Cortex Cloud, Orca lub open-source'owy Prowler podłączone do każdego konta i subskrypcji, ustalenia kierowane do zespołu będącego właścicielem każdego zasobu, ścieżki ataku uszeregowane według tego, co jest osiągalne z internetu, a każde zaakceptowane ryzyko zapisane z właścicielem i datą wygaśnięcia.
Przeglądy IAM i dostępów
Nieużywane role, uprawnienia i klucze dostępu znalezione za pomocą IAM Access Analyzer, rekomendatora IAM w Google Cloud i przeglądów dostępu w Entra ID, stałe prawa administratora zastąpione podnoszeniem uprawnień just-in-time przez Entra Privileged Identity Management lub Google Cloud Privileged Access Manager, a każde logowanie człowieka przeniesione na jednokrotne logowanie z MFA odporną na phishing.
Bezpieczeństwo Kubernetes i kontenerów
Klastry sprawdzane względem CIS Kubernetes Benchmark za pomocą kube-bench i Kubescape, obrazy skanowane w rejestrze i podpisywane Sigstore cosign, polityki dopuszczania odrzucające uprzywilejowane lub niepodpisane obciążenia oraz Falco obserwujący działające kontenery pod kątem powłok, nieoczekiwanych połączeń i zmienionych plików binarnych.
Zabezpieczenia (guardrails) i polityki jako kod
Service control policies, Azure Policy i polityki organizacji Google Cloud blokujące publiczne buckety, niezaszyfrowane dyski i zasoby w niezatwierdzonych regionach, z politykami Checkov lub OPA w pull requeście, tak aby błędną konfigurację wychwycić, zanim zastosuje ją Terraform.
Bezpieczeństwo sieci w chmurze
Bazy danych i magazyny dostępne wyłącznie przez prywatne endpointy, filtrowany ruch wychodzący, AWS WAF, Azure Web Application Firewall lub Cloud Armor z ochroną DDoS przed usługami publicznymi oraz narzędzia wewnętrzne publikowane przez Identity-Aware Proxy, Entra Private Access lub Cloudflare Access zamiast VPN.
Ochrona danych i zarządzanie kluczami
Wrażliwe dane znajdowane w bucketach i bazach danych za pomocą Amazon Macie, Microsoft Purview lub Sensitive Data Protection, szyfrowanie kluczami zarządzanymi przez klienta w KMS, Key Vault lub Cloud KMS z rotacją oraz kopie zapasowe w niezmiennych magazynach, których nie może usunąć skradzione konto administratora.
Sekrety i tożsamość obciążeń
Poświadczenia przeniesione z kodu, zmiennych i obrazów do Secrets Manager, Key Vault, Secret Manager lub HashiCorp Vault, skanowanie sekretów z push protection w każdym repozytorium oraz pipeline i usługi logujące się przez workload identity federation, tak aby nie pozostał żaden długotrwały klucz, który mógłby wyciec.
Bazowe wymagania zgodności w chmurze
Konta mierzone w sposób ciągły względem zestawów kontroli CIS, NIST SP 800-53, PCI DSS lub ISO 27001 przez conformance packs AWS Config, regulatory compliance w Azure Policy i Security Command Center, z danymi przechowywanymi w regionach UE tam, gdzie wymaga tego RODO lub umowa z klientem.
Zatrudnienie: inżynierowie bezpieczeństwa chmury
Dedykowani inżynierowie bezpieczeństwa chmury
Inżynierowie bezpieczeństwa chmury dołączają do Państwa zespołu na pełny etat, pracują w Państwa narzędziach i procesie oraz podlegają Państwa liderowi. Państwo przeprowadzają rozmowy kwalifikacyjne, a my bierzemy na siebie ukraińską umowę, wynagrodzenia, fakturowanie i urlopy.
Projekty: Bezpieczeństwo chmury
Wydzielona część prac w obszarze „bezpieczeństwo chmury”, z określonym zakresem, stałym planem i wskazanym liderem po naszej stronie, który odpowiada za wynik i raportuje postępy w Państwa kanałach.
Stała współpraca: bezpieczeństwo chmury
Usługa ciągła w obszarze „Bezpieczeństwo chmury”: ci sami ludzie co miesiąc, backlog, któremu Państwo ustalają priorytety, oraz godziny widoczne w naszym portalu i na fakturze.
Strona o dedykowanym zespole wyjaśnia, jak specjaliści dołączają do Państwa zespołu, a strona o outsourcingu opisuje realizację projektów, przejęcia i sposób rozliczania.
Kto realizuje Państwa prace w obszarze „bezpieczeństwo chmury”
Inżynierowie bezpieczeństwa chmury
Postura, tożsamość, sieć i ochrona danych
Inżynierowie chmury i DevOps
Poprawki zapisane jako zmiany Terraform i pipeline
Inżynierowie bezpieczeństwa Kubernetes
Benchmarki klastrów, polityki dopuszczania i detekcja w czasie działania
Pentesterzy
Ataki na konta w chmurze i działające w nich aplikacje
Architekci bezpieczeństwa
Przeglądy landing zone, tożsamości i projektu sieci
Jak pracujemy nad bezpieczeństwem chmury
Praca zaczyna się od dostępu tylko do odczytu przez rolę, którą Państwo tworzą i mogą cofnąć, a każda faza kończy się wnioskami uszeregowanymi według tego, co mógłby osiągnąć atakujący. Poprawki trafiają jako pull requesty do Państwa kodu Terraform, Bicep lub CDK i pipeline, więc każda zmiana jest sprawdzona, powtarzalna i nie wraca do poprzedniego stanu, gdy ktoś następnym razem zmieni ustawienie w konsoli.
Narzędzia posture znajdują błędną konfigurację, test penetracyjny pokazuje, co atakujący może z nią zrobić, a monitoring bezpieczeństwa wychwytuje próbę, dlatego łączymy te trzy elementy: ustalenia wysokiego ryzyka są testowane ponownie po poprawce, a najbardziej ryzykowne ścieżki ataku otrzymują regułę detekcji w Państwa SIEM. Nasza własna platforma działa według tych samych zasad: każdy zasób w Terraform, GitHub Actions z federowanymi poświadczeniami i akcjami przypiętymi hashem, sekrety wyłącznie w Key Vault, zapory z domyślną odmową i cykliczne wykrywanie dryfu.
Pozostałe usługi chmury, DevOps i bezpieczeństwa
Programowanie AWS
Usługi programowania AWS: kontenery EKS i ECS, serverless, landing zones, migracje, bazy danych, platformy danych, generatywna AI w Bedrock, bezpieczeństwo i optymalizacja kosztów, z dedykowanymi inżynierami AWS lub realizacją projektu.
Programowanie Google Cloud
Usługi programowania Google Cloud: Cloud Run i GKE, BigQuery, backendy Firebase, Cloud SQL i AlloyDB, Gemini na Agent Platform, bezpieczeństwo i migracje, z dedykowanymi inżynierami Google Cloud lub realizacją projektu.
Doradztwo Kubernetes
Doradztwo i programowanie Kubernetes: klastry na EKS, AKS, GKE i on premises, Helm, GitOps z Argo CD lub Flux, bezpieczeństwo klastrów, aktualizacje i obciążenia GPU, z dedykowanymi inżynierami Kubernetes lub realizacją projektu.
DevOps i CI/CD
Usługi DevOps i CI/CD: pipeline, infrastruktura jako kod w Terraform, observability, SRE i dyżury, DevSecOps, platform engineering i FinOps, z dedykowanymi inżynierami DevOps i SRE lub bieżącą pracą DevOps.
Cyberbezpieczeństwo i pentesty
Usługi cyberbezpieczeństwa i testów penetracyjnych: pentesty aplikacji webowych, mobilnych, API, sieci i chmury, bezpieczny przegląd kodu, SOC i reagowanie na incydenty, ISO 27001 i SOC 2, z dedykowanymi inżynierami bezpieczeństwa lub zdefiniowanymi projektami.
Infrastruktura IT
Usługi infrastruktury IT i administracji systemami: serwery Windows i Linux, sieci, Microsoft 365 i Entra ID, wirtualizacja, kopie zapasowe i telekomunikacja, z dedykowanymi administratorami systemów lub bieżącym wsparciem.
Site reliability engineering
Usługi site reliability engineering: SLO, observability z OpenTelemetry, dyżury i zarządzanie incydentami, testy obciążeniowe, disaster recovery i chaos engineering, z dedykowanymi inżynierami SRE lub realizacją projektu.
Platform engineering
Usługi platform engineering: wewnętrzne platformy dla programistów, portale Backstage, golden paths i szablony, infrastruktura samoobsługowa i platformy Kubernetes, z dedykowanymi inżynierami platformy lub realizacją projektu.
Architektura chmurowa
Usługi architektury chmurowej i doradztwa: projekty dla AWS, Azure i Google Cloud, plany migracji, landing zones, przeglądy Well-Architected, odporność i koszty, z dedykowanymi architektami chmury lub realizacją projektu.
FinOps
Usługi FinOps i optymalizacji kosztów chmury: alokacja kosztów, rightsizing, savings plans i rezerwacje, koszty Kubernetes, danych i AI, budżety i alerty o anomaliach, z dedykowanymi inżynierami FinOps lub realizacją projektu.
Terraform i IaC
Usługi Terraform i infrastruktury jako kod: moduły Terraform i OpenTofu, importy, pipeline plan i apply, kontrola dryfu, policy as code i Ansible, z dedykowanymi inżynierami Terraform lub realizacją projektu.
Administracja Linux
Usługi administracji Linux: serwery Ubuntu, Debian, RHEL, Rocky Linux i AlmaLinux konfigurowane, łatane, utwardzane (hardening), monitorowane i objęte kopiami zapasowymi, a także aktualizacje systemów po zakończeniu wsparcia, z dedykowanymi administratorami Linux lub bieżącym wsparciem.
Inżynieria sieciowa
Usługi inżynierii sieciowej: routing i przełączanie, zapory sieciowe, SD-WAN i dostęp zero-trust, sieci chmurowe, Wi-Fi i automatyzacja na Cisco, Juniper i Fortinet, z dedykowanymi inżynierami sieciowymi lub realizacją projektu.
SOC i monitoring bezpieczeństwa
SOC jako usługa i monitoring bezpieczeństwa: zarządzany SOC, wdrożenie SIEM, podłączanie logów, detection engineering, EDR, threat hunting i abonamenty na reagowanie na incydenty, z dedykowanymi analitykami SOC lub bieżącym monitoringiem.
Zgodność w zakresie bezpieczeństwa
Zgodność w zakresie bezpieczeństwa i gotowość do audytu: kontrole ISO 27001, SOC 2, RODO, PCI DSS, HIPAA, NIS2 i DORA, oceny luk i dowody audytowe, z dedykowanymi inżynierami zgodności lub projektem gotowości.
Pytania o bezpieczeństwo chmury
W jakich branżach pracują Państwa inżynierowie bezpieczeństwa chmury?
Głównie fintech, bankowość i ubezpieczenia, gdzie konta chmurowe podlegają PCI DSS i DORA; firmy cyberbezpieczeństwa uruchamiające własne produkty w chmurze; dostawcy chmury, hostingu i telekomunikacji; e-commerce i handel detaliczny, chroniące koszyk i dane klientów; firmy SaaS odpowiadające na przeglądy bezpieczeństwa swoich klientów; produkty ochrony zdrowia przechowujące dane pacjentów; produkty AI i danych z dużymi magazynami danych i endpointami modeli; oraz firmy przemysłowe i energetyczne łączące dane z zakładów z chmurą.
Czy ocena bezpieczeństwa chmury to to samo co test penetracyjny?
Nie. Ocena odczytuje Państwa konfigurację od wewnątrz w trybie tylko do odczytu i znajduje to, co jest błędnie skonfigurowane na wszystkich kontach. Test penetracyjny atakuje Państwa aplikacje i konta z zewnątrz, na podstawie pisemnej autoryzacji, aby pokazać, co faktycznie można wykorzystać. Wielu klientów zaczyna od oceny i kontynuuje testem najbardziej ryzykownych ścieżek, a my prowadzimy oba.
Z jakimi narzędziami CSPM lub CNAPP pracują Państwo?
Microsoft Defender for Cloud, AWS Security Hub i Google Security Command Center, które są dostarczane razem z chmurami; Wiz, Cortex Cloud i Orca, obejmujące kilka chmur w jednej konsoli; oraz open-source'owy Prowler, który uruchamia kontrole CIS bez licencji. Wdrażamy, dostrajamy i obsługujemy dowolne z nich, a poprawki trzymamy w Państwa kodzie infrastruktury.
Jak szybko mogą zacząć inżynierowie bezpieczeństwa chmury?
Gdy odpowiedni inżynier bezpieczeństwa chmury jest dostępny, o terminie startu decydują wyłącznie Państwa rozmowa oraz NDA i przeniesienie praw własności intelektualnej. W przeciwnym razie prowadzimy poszukiwania, które zwykle dają profile kandydatów w ciągu dwóch do trzech tygodni, a nikt nie zaczyna pracy, dopóki Państwo nie powiedzą „tak”.
Jak wygląda zatrudnienie przez BigTree108: inżynierowie bezpieczeństwa chmury?
Prosimy o informację o zakresie pracy, poziomie doświadczenia i potrzebnych godzinach. Proponujemy jedną lub dwie osoby wraz z ich profilami, Państwo przeprowadzają z nimi rozmowy tak, jak z własnym kandydatem, podpisują jedną umowę z BIG TREE 108 LLC i otrzymują jedną fakturę miesięcznie.
Do kogo należy praca, którą wykonują?
Do Państwa. Każdy specjalista ma podpisaną z BigTree108 umowę, która przenosi wszystkie rezultaty pracy na spółkę, a nasza umowa z Państwem przenosi je dalej. Kod, projekty i dokumenty są przekazywane do Państwa własnych repozytoriów i narzędzi, a nie przechowywane tam, gdzie zmieniać je możemy tylko my.
Potrzebują Państwo przeglądu swoich kont w chmurze?
Prosimy podać, z jakich chmur Państwo korzystają, ile kont lub subskrypcji prowadzą i do jakiego audytu lub przeglądu klienta się Państwo przygotowują. Odpowiedź otrzymają Państwo w ciągu jednego dnia roboczego: zakres oceny, plan prac lub profile kandydatów.