02 / FINDING DI ESEMPIO

Libreria finding audit AWS

Cerca finding di esempio, consigli di remediation e i pattern dei nostri building block CDK che usiamo per evitare che gli stessi problemi tornino.

COSTI

Log CloudWatch conservati per sempre

I log group senza retention continuano a crescere e trasformano dati di debug in costo ricorrente.

Come lo rileviamo

Cerchiamo log group senza retention policy o con retention più lunga di quanto serva davvero.

Risolto da

retention: logs.RetentionDays.ONE_MONTH

Il nostro building block CDK

Il nostro building block LogGroup imposta di default una retention di un mese e supporta la cifratura KMS per log sensibili.

Per account deployati manualmente

Impostiamo la retention sui log group esistenti, poi portiamo i nuovi log group in IaC per evitare drift.

Leggi la guida dettagliata →

SICUREZZA

Baseline S3 debole

I bucket spesso perdono una o più basi: blocco accesso pubblico, SSL, cifratura, versioning, lifecycle o access log.

Come lo rileviamo

Controlliamo public access, bucket policy, ACL, cifratura, versioning, lifecycle e server access logging.

Risolto da

blockPublicAccess: s3.BlockPublicAccess.BLOCK_ALL

Il nostro building block CDK

Il nostro building block Bucket include default per KMS, versioning, blocco accesso pubblico, SSL, access logging e lifecycle.

Per account deployati manualmente

Abilitiamo block public access, revisioniamo policy e ACL, aggiungiamo cifratura e lifecycle, poi codifichiamo la baseline.

COSTI

Volumi EBS non collegati

I volumi possono sopravvivere alla cancellazione delle istanze e continuare a generare costo senza ownership chiara.

Come lo rileviamo

Cerchiamo volumi EBS in stato available e verifichiamo tag owner, ambiente e applicazione.

Risolto da

removalPolicy + tag owner/env/appId

Il nostro building block CDK

Il nostro building block Disk crea volumi gp3 cifrati con tag standard e removal policy esplicita.

Per account deployati manualmente

Confermiamo ownership, creiamo snapshot se serve, eliminiamo volumi inutili, tagghiamo quelli da tenere e usiamo IaC per i nuovi dischi.

COSTI

Tag di ownership e costo mancanti

Senza tag, il team non sa chi possiede costo, rischio, cleanup o remediation.

Come lo rileviamo

Controlliamo risorse critiche per tag appId, costCenter, owner, env e createdBy.

Risolto da

Tags.of(resource).add("owner", owner)

Il nostro building block CDK

I nostri building block CDK espongono tag standard per applicare ownership e metadati di costo in modo coerente.

Per account deployati manualmente

Applichiamo tag alle risorse esistenti, definiamo la policy tag richiesta e la rendiamo obbligatoria nei nuovi deploy.

ARCHITETTURA

Modifiche production senza approval gate

Un percorso di deploy fragile permette modifiche infrastrutturali rischiose in produzione senza la review giusta.

Come lo rileviamo

Revisioniamo pipeline, separazione ambienti, branch rules e approval manuali per stack sensibili.

Risolto da

stackApprovals: [{ stack, comment }]

Il nostro building block CDK

Il nostro building block DomainPipeline supporta stage per dominio, wave parallele e approval gate per singoli stack.

Per account deployati manualmente

Documentiamo il release path attuale, aggiungiamo approval sulle modifiche production e poi migriamo i deploy ripetibili in pipeline gestita.

ARCHITETTURA

Backup senza restore provato

Una impostazione di backup non è un piano di recovery finché il team non ha provato il restore nei tempi attesi.

Come lo rileviamo

Revisioniamo schedule backup, età snapshot, evidenza dei restore test, target RPO/RTO e ownership.

Risolto da

retention definita + cadence restore test

Il nostro building block CDK

Questo oggi è una raccomandazione di audit e un candidato futuro per building block: codificare retention, ownership e restore test dove possibile.

Per account deployati manualmente

Verifichiamo i backup esistenti, eseguiamo un restore test, documentiamo RPO/RTO e owner, poi codifichiamo le impostazioni dove possibile.

Libreria finding audit AWS

Baseline S3 debole

Volumi EBS non collegati

Tag di ownership e costo mancanti

Modifiche production senza approval gate

Backup senza restore provato

Upstood | 2026