Ce guide vous fournit tout ce dont vous avez besoin pour comprendre, définir le périmètre et exécuter ce type de test, avec des conseils pratiques que vous pouvez appliquer immédiatement.
Le modèle de responsabilité partagée
Les fournisseurs de cloud sécurisent la plateforme. Vous sécurisez tout ce que vous construisez dessus. C'est cette distinction, le modèle de responsabilité partagée, qui est à l'origine de la grande majorité des violations de données dans le cloud. Non pas à cause de failles dans l'infrastructure d'AWS ou d'Azure, mais à cause d'erreurs de configuration dans la façon dont les clients utilisent ces services. Des rôles IAM trop permissifs, des buckets de stockage accessibles publiquement, une communication service-à-service non sécurisée, des secrets stockés dans des variables d'environnement en texte clair : ce sont les conclusions qui dominent les rapports de Penetrify concernant les tests d'intrusion cloud.
IAM : Les joyaux de la couronne
La gestion des identités et des accès (IAM) est la couche la plus critique et la plus souvent mal configurée dans tout environnement cloud. Le cloud test d'intrusion doit évaluer si les politiques IAM suivent les principes du moindre privilège, si des rôles et des identifiants inutilisés existent, si les chemins d'escalade de privilèges permettent à un service compromis d'atteindre des ressources sensibles et si l'accès entre les comptes est correctement limité. Un seul rôle d'exécution Lambda trop permissif peut donner à un attaquant l'accès à tous les buckets S3 de votre compte.
Stockage et exposition des données
Le nombre de violations de données qui remontent à des buckets S3, des conteneurs Azure Blob ou des objets GCP Cloud Storage mal configurés est stupéfiant. Les tests doivent vérifier que les autorisations de stockage sont correctement définies, que l'accès public est intentionnel lorsqu'il existe, que le chiffrement est appliqué au repos et en transit, et que la journalisation capture l'accès aux objets sensibles.
Configuration du réseau et des services
Le test de réseau cloud évalue les groupes de sécurité, les listes de contrôle d'accès réseau (ACL), les configurations VPC, les services exposés et les chemins de communication entre les ressources cloud. Un attaquant peut-il accéder aux services internes depuis l'internet public ? Les interfaces de gestion (RDP, SSH, consoles d'administration) sont-elles correctement restreintes ? Le trafic est-ouest entre les services est-il chiffré et authentifié ?
Pourquoi l'expertise du fournisseur est importante
Le cloud test d'intrusion de Penetrify couvre AWS, Azure et GCP avec des testeurs qui détiennent des certifications spécifiques au cloud et comprennent les nuances du modèle de sécurité de chaque fournisseur. La différence entre un pentester sensibilisé au cloud et un généraliste qui traite le cloud comme n'importe quel autre réseau est la différence entre la découverte de la chaîne d'escalade de privilèges IAM qui mène à la compromission complète du compte et la production d'un rapport de CVE génériques qui passent à côté du risque réel.
L'essentiel
Les environnements cloud sont complexes, dynamiques et impitoyables en cas d'erreur de configuration. Les tester nécessite une expertise native du cloud, et pas seulement un pentest réseau traditionnel appliqué à des adresses IP qui se trouvent être dans AWS. Penetrify fournit cette expertise grâce à l'analyse automatisée de la configuration du cloud, associée à des tests manuels de l'IAM, des chemins d'attaque inter-services et de l'escalade de privilèges spécifique au cloud, le tout documenté dans des rapports conformes aux normes.