Послуги з хмарної безпеки
Послуги з хмарної безпеки для AWS, Azure і Google Cloud: оцінка безпеки, впровадження CSPM і CNAPP, IAM та перегляд доступів, безпека Kubernetes і контейнерів, захист мережі й даних, базові рівні відповідності вимогам у хмарі, а також виділені інженери з хмарної безпеки у вашу команду або проєкти з хмарної безпеки під ключ.
Послуги з хмарної безпеки, які ми надаємо
Оцінка хмарної безпеки
Огляд ваших акаунтів AWS, Azure або Google Cloud у режимі лише читання на відповідність CIS Foundations Benchmarks і розділу про безпеку у Well-Architected Framework кожного провайдера. Він охоплює ідентичність, мережеву експозицію, шифрування, журналювання та резервні копії, а результатом є письмовий перелік ризиків, упорядкований за впливом.
Впровадження CSPM і CNAPP
Wiz, Microsoft Defender for Cloud, Cortex Cloud, Orca або open-source Prowler, підключені до кожного акаунта й підписки; знахідки, що надходять команді, яка володіє відповідним ресурсом; шляхи атак, ранжовані за тим, що досяжне з інтернету; кожен прийнятий ризик, записаний із відповідальним і датою завершення дії.
IAM і перегляд доступів
Невикористані ролі, дозволи й ключі доступу, знайдені за допомогою IAM Access Analyzer, Google Cloud IAM recommender та переглядів доступу в Entra ID; постійні права адміністратора, замінені тимчасовим підвищенням прав за потреби (just-in-time) через Entra Privileged Identity Management або Google Cloud Privileged Access Manager; кожен вхід людини, переведений на єдиний вхід (SSO) із MFA, стійкою до фішингу.
Безпека Kubernetes і контейнерів
Кластери, перевірені на відповідність CIS Kubernetes Benchmark за допомогою kube-bench і Kubescape; образи, які скануються в реєстрі та підписуються через Sigstore cosign; політики допуску, що відхиляють привілейовані або непідписані навантаження; і Falco, який стежить за запущеними контейнерами: чи не з'являються в них командні оболонки, неочікувані з'єднання та змінені бінарні файли.
Запобіжні обмеження та політики як код
Service control policies, Azure Policy і організаційні політики Google Cloud, які блокують публічні бакети, незашифровані диски та ресурси в незатверджених регіонах, а також політики Checkov чи OPA в pull request, щоб неправильну конфігурацію було виявлено до того, як її застосує Terraform.
Безпека хмарної мережі
Бази даних і сховища, доступні лише через приватні кінцеві точки; відфільтрований вихідний трафік; AWS WAF, Azure Web Application Firewall або Cloud Armor із захистом від DDoS перед публічними сервісами; внутрішні інструменти, опубліковані через Identity-Aware Proxy, Entra Private Access або Cloudflare Access, а не через VPN.
Захист даних і керування ключами
Чутливі дані, знайдені в бакетах і базах даних за допомогою Amazon Macie, Microsoft Purview або Sensitive Data Protection; шифрування ключами, якими керує клієнт, у KMS, Key Vault або Cloud KMS із ротацією; резервні копії в незмінних сховищах, які не зможе видалити викрадений акаунт адміністратора.
Секрети та ідентичність робочих навантажень
Облікові дані, винесені з коду, змінних і образів до Secrets Manager, Key Vault, Secret Manager або HashiCorp Vault; сканування секретів із push protection у кожному репозиторії; пайплайни й сервіси, що входять через workload identity federation, тож не залишається довговічного ключа, який міг би витекти.
Базові рівні відповідності вимогам у хмарі
Акаунти, які постійно перевіряються на відповідність наборам контролів CIS, NIST SP 800-53, PCI DSS або ISO 27001 через AWS Config conformance packs, Azure Policy regulatory compliance і Security Command Center; дані зберігаються в регіонах ЄС, якщо цього вимагає GDPR або договір із клієнтом.
Наші інженери з хмарної безпеки для вашої команди
Виділені інженери з хмарної безпеки
Інженери з хмарної безпеки, які приєднуються до вашої команди на повний робочий день, працюють у ваших інструментах і за вашим процесом і звітують вашому керівнику. Співбесіду проводите ви, а український договір, зарплата, рахунки й відпустки на нас.
Хмарна безпека як окремий проєкт
Окремий проєкт (напрям: хмарна безпека) з визначеним обсягом, фіксованим планом і призначеним керівником з нашого боку, який відповідає за результат і звітує про хід роботи у ваших каналах.
Постійна співпраця: хмарна безпека
Хмарна безпека як постійна послуга: ті самі люди щомісяця, беклог, пріоритети в якому визначаєте ви, і години, які видно в нашому порталі та в рахунку.
На сторінці виділеної команди пояснено, як фахівці приєднуються до вашої команди, а на сторінці аутсорсингу описано реалізацію проєктів, прийняття систем від інших команд і те, як ми беремо оплату.
Хто працює над вашим проєктом (напрям: хмарна безпека)
Інженери з безпеки хмари
Стан безпеки, ідентичність, мережа та захист даних
Інженери з хмари та DevOps
Виправлення у вигляді змін у Terraform і пайплайнах
Інженери з безпеки Kubernetes
Бенчмарки кластерів, політики допуску та виявлення під час виконання
Пентестери
Атаки на хмарні акаунти та розміщені в них застосунки
Архітектори безпеки
Рев'ю архітектури landing zone, ідентичності та мережі
Як ми працюємо над хмарною безпекою
Робота починається з доступу лише для читання через роль, яку ви створюєте й можете відкликати, а кожен етап завершується знахідками, ранжованими за тим, чого міг би досягти зловмисник. Виправлення надходять як pull request до вашого коду на Terraform, Bicep чи CDK і до ваших пайплайнів, тож кожна зміна проходить рев'ю, є відтворюваною і не повертається до попереднього стану, щойно хтось змінить налаштування в консолі.
Інструменти контролю стану безпеки знаходять неправильне налаштування, тест на проникнення показує, що з ним може зробити зловмисник, а моніторинг безпеки виявляє спробу атаки, тому ми поєднуємо всі три: знахідки з високим ризиком перевіряємо повторно після виправлення, а для найризикованіших шляхів атак створюємо правило виявлення у вашому SIEM. Наша власна платформа працює за тими самими правилами: кожен ресурс у Terraform, GitHub Actions із федеративними обліковими даними та діями, закріпленими за хешем, секрети лише в Key Vault, брандмауери із забороною за замовчуванням і виявлення дрейфу конфігурації за розкладом.
Інші послуги з хмари, DevOps і безпеки
Розробка на AWS
Розробка на AWS: контейнери EKS і ECS, serverless, landing zone, міграції, бази даних, платформи даних, генеративний AI на Bedrock, безпека й оптимізація витрат. Надаємо виділених інженерів AWS або виконуємо проєкт.
Розробка на Google Cloud
Розробка на Google Cloud: Cloud Run і GKE, BigQuery, бекенди на Firebase, Cloud SQL і AlloyDB, Gemini на Agent Platform, безпека та міграції. Надаємо виділених інженерів Google Cloud або виконуємо проєкт.
Консалтинг з Kubernetes
Консалтинг і розробка з Kubernetes: кластери в EKS, AKS, GKE та on-premises, Helm, GitOps з Argo CD або Flux, безпека кластерів, оновлення й GPU-навантаження. Надаємо виділених інженерів Kubernetes або виконуємо проєкт.
DevOps і CI/CD
Послуги з DevOps і CI/CD: пайплайни, інфраструктура як код на Terraform, спостережуваність, SRE та чергування on-call, DevSecOps, platform engineering і FinOps. Надаємо виділених інженерів DevOps і SRE або ведемо DevOps на постійній основі.
Кібербезпека і пентест
Послуги з кібербезпеки та тестування на проникнення: пентести вебзастосунків, мобільних застосунків, API, мереж і хмари, код-рев'ю з погляду безпеки, SOC і реагування на інциденти, ISO 27001 та SOC 2. Надаємо виділених інженерів із безпеки або виконуємо проєкти з визначеним обсягом робіт.
IT-інфраструктура
Послуги з IT-інфраструктури та системного адміністрування: сервери Windows і Linux, мережі, Microsoft 365 та Entra ID, віртуалізація, резервне копіювання й телеком. Надаємо виділених системних адміністраторів або постійну підтримку.
Site reliability engineering (SRE)
Послуги з інженерії надійності (site reliability engineering): SLO, спостережуваність на OpenTelemetry, чергування on-call і керування інцидентами, навантажувальне тестування, аварійне відновлення та chaos engineering. Надаємо виділених SRE-інженерів або виконуємо проєкт.
Platform engineering
Послуги з platform engineering: внутрішні платформи для розробників, портали Backstage, golden paths і шаблони, інфраструктура із самообслуговуванням та платформи на Kubernetes. Надаємо виділених інженерів із platform engineering або виконуємо проєкт.
Хмарна архітектура
Хмарна архітектура та консалтинг: проєктування рішень для AWS, Azure і Google Cloud, плани міграції, landing zone, огляди Well-Architected, відмовостійкість і витрати. Надаємо виділених хмарних архітекторів або виконуємо проєкт.
FinOps
FinOps та оптимізація витрат на хмару: розподіл витрат, підбір розмірів ресурсів (rightsizing), Savings Plans і резервування, витрати на Kubernetes, дані та AI, бюджети й сповіщення про аномалії. Надаємо виділених FinOps-інженерів або виконуємо проєкт.
Terraform та IaC
Terraform та інфраструктура як код: модулі Terraform і OpenTofu, імпорт наявних ресурсів, пайплайни plan і apply, контроль дрейфу, policy as code та Ansible. Надаємо виділених інженерів Terraform або виконуємо проєкт.
Адміністрування Linux
Адміністрування Linux: сервери Ubuntu, Debian, RHEL, Rocky Linux і AlmaLinux (налаштування, оновлення безпеки, hardening, моніторинг, резервне копіювання) та оновлення систем, що вийшли з підтримки. Надаємо виділених адміністраторів Linux або постійну підтримку.
Мережева інженерія
Послуги з мережевої інженерії: маршрутизація та комутація, фаєрволи, SD-WAN і доступ за принципом zero trust, мережі в хмарі, Wi-Fi й автоматизація на обладнанні Cisco, Juniper та Fortinet. Надаємо виділених мережевих інженерів або виконуємо проєкт.
SOC і моніторинг безпеки
SOC як послуга та моніторинг безпеки: керований SOC, розгортання SIEM, підключення логів, detection engineering, EDR, threat hunting і реагування на інциденти за ретейнером. Надаємо виділених SOC-аналітиків або моніторинг на постійній основі.
Відповідність стандартам безпеки
Відповідність вимогам безпеки та підготовка до аудиту: контролі ISO 27001, SOC 2, GDPR, PCI DSS, HIPAA, NIS2 і DORA, gap-аналіз та докази для аудиту. Надаємо виділених інженерів із відповідності вимогам або виконуємо проєкт підготовки.
Запитання про хмарну безпеку
У яких галузях працюють ваші інженери з хмарної безпеки?
Здебільшого це фінтех, банківська справа й страхування, де хмарні акаунти потрапляють під дію PCI DSS і DORA; компанії з кібербезпеки, які запускають власні продукти в хмарі; хмарні, хостингові та телеком-провайдери; e-commerce і роздрібна торгівля, що захищають оформлення замовлення й дані клієнтів; SaaS-компанії, які відповідають на перевірки безпеки з боку своїх клієнтів; медичні продукти, що зберігають дані пацієнтів; AI- та дата-продукти з великими сховищами даних і кінцевими точками моделей; промислові й енергетичні компанії, що підключають дані з виробничих об'єктів до хмари.
Чи є оцінка хмарної безпеки тим самим, що й тест на проникнення?
Ні. Оцінка зчитує вашу конфігурацію зсередини з доступом лише для читання та знаходить, що налаштовано неправильно в кожному акаунті. Тест на проникнення атакує ваші застосунки й акаунти ззовні, за письмовим дозволом, щоб показати, що справді можна експлуатувати. Багато клієнтів починають з оцінки, а потім замовляють тест найризикованіших шляхів, і ми виконуємо обидва.
З якими інструментами CSPM чи CNAPP ви працюєте?
Microsoft Defender for Cloud, AWS Security Hub і Google Security Command Center, які постачаються разом із відповідними хмарами; Wiz, Cortex Cloud та Orca, що охоплюють кілька хмар в одній консолі; і open-source Prowler, який виконує перевірки CIS без ліцензії. Ми впроваджуємо, налаштовуємо й експлуатуємо будь-який із них на ваш вибір, а виправлення зберігаємо у вашому коді інфраструктури.
Як швидко можуть стати до роботи інженери з хмарної безпеки?
Якщо відповідний інженер з хмарної безпеки вільний, старт залежить лише від вашої співбесіди, NDA і передачі прав на інтелектуальну власність. Інакше ми проводимо пошук, який зазвичай дає профілі кандидатів за два-три тижні, і ніхто не починає роботу, доки ви не скажете «так».
Як найняти фахівців через BigTree108, якщо вам потрібні інженери з хмарної безпеки?
Розкажіть про роботу, рівень і години, які вам потрібні. Ми пропонуємо одну-двох людей з їхніми профілями, ви проводите з ними співбесіду так, як зі своїм власним кандидатом, підписуєте один договір із ТОВ «БІГ ТРІ 108» і отримуєте один рахунок на місяць.
Кому належать результати їхньої роботи?
Вам. Кожен фахівець має підписаний із BigTree108 договір, за яким усі результати роботи передаються компанії, а наш договір із вами передає їх далі. Код, дизайн-макети та документи постачаються у ваші власні репозиторії та інструменти, а не зберігаються там, де змінити їх можемо лише ми.
Потрібно перевірити ваші хмарні акаунти?
Розкажіть, якими хмарами ви користуєтеся, скільки у вас акаунтів чи підписок і до якого аудиту або перевірки з боку клієнта ви готуєтеся. Ви отримаєте відповідь протягом одного робочого дня: обсяг робіт для оцінки, план робіт або профілі кандидатів.