Poniżej kilka projektów, które prowadziliśmy dla firm technologicznych i prywatnych korporacji. Każdy zaczął się od inwentaryzacji tożsamości i mapy ruchu, a skończył na konkretnych regułach, które zespół utrzymuje samodzielnie.
Klient z trzema lokalizacjami zgłaszał się po każde nietypowe połączenie wychodzące. Zamiast pełnego logowania włączyliśmy selektywny zbiór zdarzeń: uwierzytelnienia do systemów wewnętrznych, ruch między segmentami i próby dostępu do zasobów poza godzinami pracy. Po dwóch miesiącach zespół SOC przestał tonąć w szumie.
Produkcja, środowisko testowe, biuro i dostęp partnerski trafiły do osobnych stref z jasno opisanymi regułami przejścia. Kluczowe okazało się powiązanie segmentacji z rolami w systemie tożsamości — bez tego każda nowa osoba w projekcie oznaczała kolejną ręczną regułę na firewallu.
Zaczęliśmy od jednej aplikacji obsługującej dane klientów, a nie od całej infrastruktury. Najpierw inwentaryzacja tożsamości i uprawnień, potem weryfikacja każdego żądania dostępu. Efekt mierzyliśmy liczbą zablokowanych nieautoryzowanych prób i skróceniem czasu reakcji na incydenty.
Po zmianie właściciela projektu w firmie technologicznej zostały konta i reguły po byłych wykonawcach. Przeszliśmy przez listę tożsamości, wygasiliśmy zbędne dostępy i uporządkowaliśmy role. Największym zaskoczeniem było to, ile reguł na firewallu nikt już nie potrafił uzasadnić.
Dwudniowe spotkanie z zespołem klienta, na którym rozłożyliśmy na części codzienne nawyki: obieg dokumentów, dostęp do repozytoriów, sposób przekazywania danych między działami. Wyszliśmy z listą kilkunastu zmian, które dało się wdrożyć bez zatrzymywania bieżących projektów.
Kilka miesięcy po zakończeniu projektu wracamy do klienta i sprawdzamy, co się rozjechało. Zwykle chodzi o nowe integracje, które omijają ustalone reguły, albo o role, które rozrosły się ponad pierwotny zakres. Krótki przegląd raz na kwartał wystarcza, żeby utrzymać porządek.