9.4 KiB
title, description, eyebrow, lead, actions
| title | description | eyebrow | lead | actions | |||||||
|---|---|---|---|---|---|---|---|---|---|---|---|
| Housekeeping jako služba | Dedikovaný pronajatý tým, který odstraňuje útočný povrch, na který vaše vlastní týmy nikdy nenajdou čas. Dva režimy: pomalý/levný/bezpečný Client-Directed a rychlý/rušivý Kill-Chain. Přepínatelné dle situace. | Spravovaná služba | Každé prostředí se hromadí. Každý projekt, každý zaměstnanec, každý dodavatelský vztah za sebou zanechá účty, oprávnění a konfigurace. Téměř nic je neodstraňuje. Ponecháno svému osudu, útočný povrch roste bez hranic — bez ohledu na to, co jiného opravíte. Tato služba to zastavuje. |
|
Problém, který nikdo neřeší
Můžete opravit každý server, hardovat každou politiku, dokončit každý modul angažmá — a přesto každé čtvrtletí ztrácet půdu. Protože nikdo objekty neodstraňuje.
Účet odchozího dodavatele zůstane. Dočasné ACL se stane trvalým. VM spuštěný pro migraci je zapomenut, ale stále dosažitelný. Service principal s širokým souhlasem pro projekt, na který si nikdo nevzpomíná, ho stále drží. Prostředí objekty nepřetržitě přibírá.
Obvyklá odpověď je „naplánujeme sprint na úklid." Sprint na úklid se nikdy neuskuteční, protože nikdy není naléhavý — dokud není narušení.
Proč tým poráží aktivitu — přeznamenění
Housekeeping jako aktivita je propustnost omezená pozorností. Pozornost je nejvolatilnější a nejpřerušitelnější zdroj v každé IT organizaci: v okamžiku, kdy přijde incident, audit nebo projektový termín, stream housekeepingu klesne na nulu.
Housekeeping jako tým je propustnost omezená počtem zaměstnanců, který je stabilní. Nelze ho tiše odfinancovat přeřazením priorit, protože je to položka rozpočtu a smlouva, nikoli dobrý úmysl.
Tento rozdíl je kategorický, nikoli marginální. Prostředí nepřetržitě přibírá objekty. Pokud úklid odstraňuje pomaleji než přírůstek, útočný povrch roste i když tým „dělá housekeeping." Dedikovaný tým, který odstraňuje rychleji než přírůstek, překročí nulovou čistou propustnost a přeznamenuje: ohraničený a klesající místo neomezeného růstu.
Dedikovaný tým není rychlejší kbelík. Je to rozdíl mezi kbelíkem a čerpadlem.
| Housekeeping jako aktivita | Housekeeping jako tým | |
|---|---|---|
| Propustnost omezena | Pozorností (volatilní, přerušitelná) | Počtem zaměstnanců (stabilní) |
| Chování při incidentu/termínu | Klesne na nulu | Drží minimum |
| Čistý efekt na útočný povrch | Obvykle záporný (přírůstek > úklid) | Kladný (úklid > přírůstek) |
| Odfinancování | Tiché, přeřazením priorit | Explicitní, vyžaduje zrušení smlouvy |
Proč je to bezpečnostní funkce stavěná pro outsourcing
Většina bezpečnostních funkcí se outsourcuje špatně, protože vyžadují hluboký, aktuální kontext. Housekeeping je výjimka:
- Procedurální propustnost, nikoli kontext. Deaktivace účtu, jehož vlastník odešel před čtrnácti měsíci a od té doby se neautentizoval, nevyžaduje porozumění vašemu businessu. Procedura plus propustnost je definice outsourceovatelné práce.
- Protichůdný vůči vlastní pozornosti klienta. Je to práce, kterou nikdo interní nikdy nepriorizuje, protože nikdy není naléhavá — dokud není narušení. Přesně proto by to měl být celý business někoho jiného.
- SLA-ovatelné na čistých metrikách. Stáří backlogu, uzavřené položky za cyklus, čas od odhalení po vlastnictví a trend útočného povrchu jsou všechny měřitelné a smluvně ošetřitelné.
- ASTRAL-gated pro důvěru. Každá dispozice je vlastněná, prioritizovaná, klientem schválená položka backlogu procházející ASTRAL pull requestem. Vidíte každou akci. Backlog je řídící povrch — to je to, co z předání práce externímu týmu dělá snadné ano.
Dva režimy
Stejný tým, stejný backlog a stejné nástroje dodávají dvě odlišné služby. Liší se v jedné ose — kdo přiděluje prioritu — a vše ostatní z toho plyne.
Režim 1 — Client-Directed (noční úklidová četa)
Noční úklidová četa pracuje kolem vašeho provozu, podle vámi nastaveného rozvrhu, a ráno je kancelář čistá. Vy ukazujete; oni uklízejí. Klient vlastní prioritizaci — tým odstraňuje co klient předloží, v rámci procesů řízení změn, nikdy nevynucuje okno, se kterým klient nesouhlasil.
Charakter: levný, pomalý, bezpečný, důkladný, nerušivý.
Výnos: lineární a spolehlivý. Útočný povrch přestane růst a pomalu ustoupí.
Ideální pro: organizace, které vědí, že nashromáždily dluh, chtějí ho průběžně splácet a dávají přednost provozní stabilitě před rychlostí.
Režim 2 — Kill-Chain (záchranný tým)
Priority jsou přiděleny bezpečnostní analýzou — kill chainem, nikoli provozní pohodou. Tým uzavírá řetězec zvenčí, záměrně neomezený normálním kalendářem změn, protože jde o odstranění existenčních cest rychleji, než by byrokracie kdy umožnila.
Charakter: drahý, rychlý, rušivý, asymetrický výnos.
Výnos: asymetrický. Malý počet cílených odstranění na kill chainu přinese nepřiměřené snížení rizika. Trend délky řetězce se neohýbá — klesá.
Ideální pro: po incidentu, před auditem, před/po M&A nebo pro jakoukoli organizaci, která přijala, že nese existenční expozici a chce ji odstranit rychleji, než dovolují vlastní procesy.
Vyžaduje: executive air cover. Narušení je zde vlastností, nikoli chybou.
Přepínatelnost je produkt
Klient může měnit režimy podle situace. Výchozí postoj je Režim 1: levný, kontinuální, bezpečný. Když přijde spouštěcí událost — narušení, termín auditu, kill-chain assessment, který odkryje nepřijatelnou nejkratší cestu — stejný tým eskaluje do Režimu 2 na definované okno, uzavře existenční cesty pod executive air cover a pak se vrátí k Režimu 1.
Nekupujete dva týmy. Kupujete jeden tým se škrtičem — levná kontinuita plus možnost přidat plyn, když si to hrozba zaslouží.
Co tým odstraňuje
Zastaralé uživatelské, dodavatelské a servisní účty bez vlastníka. Osiřelá členství ve skupinách a oprávnění, která přežila svůj projekt. Staré registrace aplikací a service principalů. Zaregistrovaná zařízení, která se již nepoužívají. Politiky podmíněného přístupu bez pojmenovaného vlastníka. Starší protokoly (NTLM, základní auth, SMBv1). DNS záznamy pro dekomisionované služby. Dočasná pravidla firewallu, která se stala trvalými. Staré GPO, admin práva a certifikáty.
Autorizační lišta
Tým, který deaktivuje účty a odstraňuje ACL, potřebuje strukturu, která zabrání přestřižení čehokoli kritického:
- Každá dispozice je položka backlogu gated ASTRAL pull requestem, který klient schvaluje. Nic není odstraněno tiše.
- Soft-deaktivace s oknem pro vrácení před tvrdým smazáním. Deaktivovat, počkat, potvrdit, že nic nefunguje, pak odstranit.
- Freeze / break-glass režim. Během aktivního incidentu je housekeeping smyčka zmrazitelná, aby tým nikdy nevrátil akci incident response.
- Explicitní rozsah. Autorita týmu je ohraničena na pojmenované třídy objektů a pojmenované rozsahy, zdokumentované a schválené.
Komerční úrovně
| Úroveň | Co to je | Nejlepší pro |
|---|---|---|
| Assessment & Backlog Standup | Kill-chain assessment + ASTRAL/PULSAR feedery, naplněný a prioritizovaný backlog, definovaný rozsah a autorizační lišta | Klienti s nahromaděným dluhem a bez fronty |
| Retainer Režim 1 | Kontinuální, change-windowed attrition backlogu na smluvní propustnosti | Klienti ve stabilním stavu, kteří chtějí povrch snižovat bez narušení |
| Angažmá Režim 2 | Časově ohraničená, exec-sponzorovaná kampaň pro uzavření existenčních cest | Po incidentu, před auditem, M&A nebo nepřijatelná kill-chain expozice |
| Přepínatelný Retainer | Základ Režimu 1 s předem dohodnutými spouštěči eskalace Režimu 2 | Klienti, kteří chtějí levnou kontinuitu a možnost eskalovat |
SLA metriky jsou stejné napříč všemi úrovněmi: uzavřené položky za cyklus, stáří P0/P1, čas od odhalení po vlastnictví a trend útočného povrchu / délky kill chainu.
Antifragilní kontext
Housekeeping jako služba je vrstva lidské akce pod CQRE nástroji: ASTRAL a PULSAR povrchují a prioritizují; housekeeping tým jedná. Rozšíření identity ownership ASTRAL — signály smrti (účet vlastníka deaktivován), signály ticha (žádná autentizace rok) a signály změny (mutace vlastností) — automaticky generuje prioritizované položky backlogu. Detekovat → přibírat → odstraňovat → reportovat, v jedné smyčce.
Bezpečnost je kontaktní sport. Nástroje práci najdou. Tým ji dokončí.
Připraveni přeznamenat?
Assessment & Backlog Standup je správný vstupní bod — kill-chain assessment, který naplní a prioritizuje frontu, než ji tým vezme do ruky.