Ten przewodnik zawiera wszystko, co musisz wiedzieć, aby zrozumieć, określić zakres i przeprowadzić ten rodzaj testów – wraz z praktycznymi wskazówkami, które możesz natychmiast zastosować.
Model Wspólnej Odpowiedzialności
Dostawcy chmury zabezpieczają platformę. Ty zabezpieczasz wszystko, co na niej budujesz. To rozróżnienie – model wspólnej odpowiedzialności – jest źródłem zdecydowanej większości naruszeń bezpieczeństwa w chmurze. Nie wynikają one z wad infrastruktury AWS lub Azure, ale z błędnych konfiguracji w sposobie, w jaki klienci korzystają z tych usług. Nadmierne uprawnienia ról IAM, publicznie dostępne zasobniki pamięci masowej, niezabezpieczona komunikacja między usługami, hasła przechowywane jako zwykły tekst w zmiennych środowiskowych – to ustalenia, które dominują w raportach z pentestów chmurowych.
IAM: Klejnoty Koronne
Zarządzanie tożsamością i dostępem (Identity and Access Management) to najbardziej krytyczna – i najczęściej błędnie konfigurowana – warstwa w każdym środowisku chmurowym. Cloud pentesting musi ocenić, czy zasady IAM są zgodne z zasadami najmniejszych uprawnień, czy istnieją nieużywane role i poświadczenia, czy ścieżki eskalacji uprawnień pozwalają na przejęcie kontroli nad wrażliwymi zasobami, oraz czy dostęp między kontami jest odpowiednio ograniczony. Pojedyncza rola wykonywania Lambda o nadmiernych uprawnieniach może dać atakującemu dostęp do każdego zasobnika S3 na Twoim koncie.
Ekspozycja Pamięci Masowej i Danych
Liczba naruszeń danych, które można powiązać z błędnie skonfigurowanymi zasobnikami S3, kontenerami Azure Blob lub obiektami GCP Cloud Storage, jest oszałamiająca. Testowanie musi zweryfikować, czy uprawnienia do przechowywania są odpowiednio określone, czy publiczny dostęp jest celowy tam, gdzie istnieje, czy szyfrowanie jest stosowane w spoczynku i podczas przesyłania, oraz czy rejestrowanie przechwytuje dostęp do wrażliwych obiektów.
Konfiguracja Sieci i Usług
Testowanie sieci w chmurze ocenia grupy bezpieczeństwa, listy ACL sieci, konfiguracje VPC, udostępnione usługi i ścieżki komunikacji między zasobami chmurowymi. Czy atakujący może uzyskać dostęp do usług wewnętrznych z publicznego Internetu? Czy interfejsy zarządzania (RDP, SSH, konsole administracyjne) są odpowiednio ograniczone? Czy ruch wschód-zachód między usługami jest szyfrowany i uwierzytelniany?
Dlaczego Wiedza Specjalistyczna Dostawcy Ma Znaczenie
Cloud Penetration Testing Penetrify obejmuje AWS, Azure i GCP, a testerzy posiadają certyfikaty specyficzne dla chmury i rozumieją niuanse modelu bezpieczeństwa każdego dostawcy. Różnica między pentesterem świadomym chmury a generalistą, który traktuje chmurę jak każdą inną sieć, to różnica między znalezieniem łańcucha eskalacji uprawnień IAM, który prowadzi do pełnego przejęcia kontroli nad kontem, a wygenerowaniem raportu ogólnych CVE, które pomijają prawdziwe ryzyko.
Podsumowanie
Środowiska chmurowe są złożone, dynamiczne i bezlitosne dla błędnych konfiguracji. Ich testowanie wymaga wiedzy specjalistycznej opartej na chmurze – a nie tylko tradycyjnego pentestingu sieciowego stosowanego do adresów IP, które przypadkowo znajdują się w AWS. Penetrify zapewnia tę wiedzę specjalistyczną dzięki zautomatyzowanemu skanowaniu konfiguracji chmury, połączonemu z ręcznym testowaniem IAM, ścieżek ataku między usługami i eskalacji uprawnień specyficznych dla chmury – a wszystko to udokumentowane w raportach zgodnych z przepisami.