Тестирование на проникновение в облако
Выявите пути атаки, связанные с идентификацией и ошибками конфигурации, в ваших средах AWS, Azure и GCP.
Обзор
Тестирование на проникновение в облако оценивает облачные среды на наличие ошибок конфигурации и путей атаки на основе идентификации, которые традиционное тестирование на проникновение упускает, таких как чрезмерно разрешительные IAM, открытое хранилище, злоупотребление метаданными и повышение привилегий между облачными нативными сервисами. Оно сочетает анализ конфигурации по CIS Benchmarks с практической эксплуатацией. Оно оценивает облачные среды путём имитации атак на AWS, Azure и Google Cloud. Тестирование отражает модель разделённой ответственности, фокусируясь на ошибках конфигурации облака и слабых местах идентификации, которые клиент обязан защищать.
Методология и стандарты
CIS Benchmarks (AWS/Azure/GCP), политики тестирования провайдеров и MITRE ATT&CK for Cloud в рамках PTES и NIST SP 800-115. Каждый проект охватывает анализ поверхности атаки, оценку конфигурации, проверку контроля доступа, а также вопросы восстановления и устойчивости.
Что входит
Что вы получаете
Часто задаваемые вопросы
Для большинства ресурсов, управляемых пользователем, провайдеры теперь разрешают тестирование без предварительного одобрения, но некоторые управляемые сервисы по-прежнему требуют уведомления. Мы подтверждаем политику провайдера на этапе определения объёма и соблюдаем её.
Нет. Инструменты оценки состояния сообщают об ошибках конфигурации; мы их эксплуатируем, превращая чрезмерно разрешительную роль или открытые учётные данные в реальное повышение привилегий и доступ к данным.
Да. Комбинированный проект отображает, как плацдарм на уровне приложения повышается через облачный IAM, что соответствует ходу реальных компрометаций.
Распространённые проблемы включают небезопасные API, чрезмерные разрешения, ошибки конфигурации серверов, слабые учётные данные и устаревшее программное обеспечение.