Proč je IAM útočným vektorem č. 1
IAM je řídicí rovina pro vše v cloudu. Každé volání API, každý přístup k datům, každá interakce služeb je autorizována prostřednictvím IAM. Jedna chybně nakonfigurovaná politika může obejít všechna ostatní bezpečnostní opatření, která jste implementovali. Segmentace sítě nehraje roli, pokud role IAM uděluje přístup mezi VPC. Šifrování uložených dat nehraje roli, pokud politika IAM umožňuje dešifrování. Testování IAM je testováním zabezpečení cloudu.
Modely eskalace oprávnění
Každý poskytovatel má charakteristické modely eskalace. AWS: iam:PassRole + lambda:CreateFunction pro spouštění kódu s libovolnou rolí. Azure: User Access Administrator pro přiřazení jakékoli role sobě samému. GCP: iam.serviceAccounts.actAs pro zosobnění libovolného servisního účtu. Testování musí systematicky vyhodnocovat tyto vzory specifické pro jednotlivé poskytovatele.
Testování životního cyklu přihlašovacích údajů
Nepoužívané přístupové klíče, dlouhodobé přihlašovací údaje servisních účtů, sdílené přihlašovací údaje a přihlašovací údaje v repozitářích kódu představují riziko IAM. Testování vyhodnocuje stáří přihlašovacích údajů, zásady rotace, vzorce použití a umístění úložišť.
Přístup mezi účty a mezi tenanty
Prostředí AWS s více účty, tenanty Azure s více předplatnými a organizace GCP s více projekty představují rizika přístupu mezi hranicemi. Testování vyhodnocuje vztahy důvěryhodnosti, konfigurace delegování a zásady prostředků, které umožňují přístup mezi hranicemi.
IAM Testing s Penetrify
IAM security testing od Penetrify kombinuje automatizovanou analýzu politik s manuálním testováním eskalace oprávnění. Automatizované nástroje identifikují přehnaně permisivní politiky a nepoužívané přihlašovací údaje. Manuální testeři ověřují, zda jsou identifikované slabiny skutečně zneužitelné – protože politika, která vypadá přehnaně permisivně, může být omezena pomocí SCP, hranic oprávnění nebo zásad relací, které může vyhodnotit pouze manuální testování.
Závěr
IAM security testing je aktivita s nejvyšší návratností investic v cloudové bezpečnosti. Jediné zjištění může zabránit kompromitaci celého účtu. Hybridní automatizovaný + manuální přístup od Penetrify zachycuje jak chybnou konfiguraci na úrovni politik, tak i řetězce zneužití, které je propojují.