ИТ-аудит технологических активов помог оценить эффективность инвестиций

О проекте

Компания является частью российского банка из топ-3. Бизнес специализируется на управлении производственными и непрофильными активами, оценке прямых инвестиций и проведении сложно структурированных сделок, таких как M&A и процесс банкротства. Новым объектом для анализа стал российский облачный провайдер, который предлагает IaaS и PaaS-решения: виртуальные машины с моментальным масштабированием, выделенные серверы, серверы с GPU и публичное облако на базе VMware.

Клиент определил ряд задач для DevOps-инженеров RedLab:

• Обследование ИТ-технологических аспектов целевого актива, основываясь на международный стандарт ISO 27001: оценка ПО и набора инструментов, проверка соответствия спецификациям, стандартам и договорным соглашениям.
• Выявление и анализ рисков платформы и ИТ-решений: определение текущего уровня защищенности и поиск возможных угроз безопасности в отношении ресурсов ИС.
• Предоставление рекомендаций по результатам аудита: оформление выводов в структурированной форме в отчете с ясным и понятным описанием каждого пункта.

Реализация

Специалисты RedLab провели следующие работы:

• Проанализировали информацию о составе, расположении и состоянии оборудования, на котором работают сервисы провайдера и хранятся данные компании и пользователей.
• Изучили информацию об исходном коде и удобстве обслуживания (maintainability) системы:
  -уровень сложности внесения изменений в исходный код;
  -перечень вендоров и условия взаимодействия с ними;
  -перечень ключевых разработчиков и условия взаимодействия с ними.
• Проверили размер системы, ее модули и риски, связанные с данной архитектурой.
• Оценили переносимость инфраструктуры и решений, а также сопутствующие риски при развертывании полноценного собственного контура.
• Выявили риски при закупках и поставках нового ИКТ-оборудования, а также уязвимости защиты персональных данных.
• Рассмотрели сервисную платформу, а именно:
  -информацию о перечне служб в составе платформы провайдера;
  -данные о производительности ключевых служб платформы;
  -сведения о модели разработки, по которой работает компания: собственная и заказная.
• Рассмотрели уязвимости в сервисной платформе и дизайне программы, риски при масштабировании и доработке системы.

• Проанализировали ключевые лицензии и права на использование сторонних библиотек и решений, корректность оформления прав на их использование.

  Также эксперты RedLab разработали план с рекомендациями по устранению недостатков в ИТ-окружении:

• Обнаружили низкий контроль в процессе безопасной разработки, что ведет к увеличению вероятности компрометации системы, отказа в обслуживании и заражении серверов. Предложили установить ограничение сборки при обнаружении определенных уязвимостей и внедрить практики DevSecOps, SDLC и ShiftLeft.
• Заметили отсутствие корпоративного парольного менеджера и MFA, которое повышает вероятность реализации риска проникновения и совершения несанкционированных вредоносных действий со стороны злоумышленников или уволенных сотрудников. Рекомендовали использовать соответствующий сервис.
• Увидели, что процесс управления конфигурациями не документирован и реализован средствами инвентаризации Ivanti Endpoint Manager, IT Invent и DCIM NetBox. Это увеличивает количество инцидентов и упущений при проведении изменений. Порекомендовали внедрить систему CMDB для управления конфигурациями.
• Определили несинхронизированные экземпляры memcached в архитектуре сервисов FYI. В случае недоступности одного из объектов, возможны замедления в работе систем из-за отсутствия кэшированных данных. Указали, что нужно синхронизировать компоненты с помощью mcrouter или использовать кеши на основе Redis.