Cloud Penetration Testing: Protezione di AWS, Azure e GCP

Questa guida fornisce tutto ciò che ti serve per comprendere, definire l'ambito ed eseguire questo tipo di testing, con indicazioni pratiche da applicare immediatamente.

Il Modello di Responsabilità Condivisa

I provider di cloud proteggono la piattaforma. Tu proteggi tutto ciò che costruisci su di essa. Questa distinzione, il modello di responsabilità condivisa, è la fonte della stragrande maggioranza delle violazioni del cloud. Non derivano da difetti nell'infrastruttura di AWS o Azure, ma da configurazioni errate nel modo in cui i clienti utilizzano tali servizi. Ruoli IAM eccessivamente permissivi, bucket di storage accessibili pubblicamente, comunicazioni insicure tra servizi, segreti archiviati in variabili d'ambiente in chiaro: queste sono le scoperte che dominano i report di Penetrification Testing del cloud.

IAM: I Gioielli della Corona

Identity and Access Management è il livello più critico, e più comunemente mal configurato, in qualsiasi ambiente cloud. Il cloud pentesting deve valutare se le policy IAM seguono i principi del minimo privilegio, se esistono ruoli e credenziali inutilizzati, se i percorsi di escalation dei privilegi consentono a un servizio compromesso di raggiungere risorse sensibili e se l'accesso tra account è adeguatamente limitato. Un singolo ruolo di esecuzione Lambda eccessivamente permissivo può fornire a un attaccante l'accesso a ogni bucket S3 nel tuo account.

Storage ed Esposizione dei Dati

Il numero di violazioni di dati riconducibili a bucket S3, container Azure Blob o oggetti GCP Cloud Storage mal configurati è sbalorditivo. Il testing deve verificare che le autorizzazioni di storage siano adeguatamente definite, che l'accesso pubblico sia intenzionale laddove presente, che la crittografia sia applicata a riposo e in transito e che la registrazione catturi l'accesso a oggetti sensibili.

Configurazione di Rete e Servizi

Il network testing del cloud valuta i security group, le ACL di rete, le configurazioni VPC, i servizi esposti e i percorsi di comunicazione tra le risorse cloud. Un attaccante può raggiungere servizi interni dalla rete internet pubblica? Le interfacce di gestione (RDP, SSH, console di amministrazione) sono adeguatamente limitate? Il traffico est-ovest tra i servizi è crittografato e autenticato?

Perché l'Esperienza del Provider è Importante

Il cloud Penetration Testing di Penetrify copre AWS, Azure e GCP con tester che possiedono certificazioni specifiche per il cloud e comprendono le sfumature del modello di sicurezza di ciascun provider. La differenza tra un pentester esperto di cloud e un generalista che tratta il cloud come qualsiasi altra rete è la differenza tra la scoperta della catena di escalation dei privilegi IAM che porta alla compromissione completa dell'account e la produzione di un report di CVE generiche che trascurano il rischio reale.