Prüfung von Umgebungen in AWS, Azure, Google Cloud und Kubernetes: Identitäten, Erreichbarkeit aus dem Netz, Datenspeicher und Pfade vom ersten Zugriff bis zur vollen Kontrolle.
In der Cloud ist der Perimeter ein Richtliniendokument. Eine Rolle, die eine andere Rolle weitergeben kann, ein Storage-Bucket, den jeder angemeldete Benutzer lesen kann, ein Metadatendienst, der aus einer Webanwendung erreichbar ist: Jedes für sich wirkt harmlos, zusammen sind sie ein Pfad aus dem Internet zu den Daten.
Wir prüfen die Konfiguration mit reinem Lesezugriff und testen dann, was sie in der Praxis bedeutet: Ausgehend von der Position eines Außenstehenden, eines kompromittierten Workloads und eines Entwicklerkontos folgen wir den Berechtigungen, um zu sehen, wie weit jeder von ihnen kommt.
01Umfang
Was wir testen
Identitäts- und Zugriffsverwaltung: Benutzer, Rollen, Richtlinien, Föderation, Dienstkonten
Pfade zur Rechteausweitung und kontoübergreifende Vertrauensstellungen
Geheimnisse und Schlüssel: Verwaltungsdienste, Rotation, Geheimnisse im Code und in Umgebungsvariablen
Protokollierung und Erkennung: was ein Angreifer tun kann, ohne dass es aufgezeichnet wird
Delivery-Pipeline: Berechtigungen von Runnern und Deployment-Rollen
02Vorgehen
Wie die Arbeit abläuft
01
Prüfung der Konfiguration
Mit reinem Lesezugriff erfassen wir die Konfiguration und vergleichen sie mit den CIS Benchmarks und mit den Empfehlungen des Anbieters.
02
Analyse der Angriffspfade
Berechtigungen werden als Graph modelliert. Wir suchen die Pfade, die von einer Identität mit geringen Rechten zur administrativen Kontrolle oder zu den Daten führen.
03
Validierung
Die Pfade, auf die es ankommt, gehen wir tatsächlich ab, innerhalb der Grenzen der Testregeln, um das Theoretische vom Ausnutzbaren zu trennen.
04
Tests aus dem Workload
Aus dem Inneren eines Containers oder einer Funktion testen wir, was ein kompromittierter Workload erreichen kann: Metadaten, benachbarte Dienste, die Control Plane.
Schweregrad jedes Befunds als Punktwert und Vektor.
FIRST
06Fragen
Fragen zu dieser Leistung
Müssen wir den Cloud-Anbieter informieren?
Die großen Anbieter veröffentlichen Richtlinien, die Tests der eigenen Ressourcen ohne vorherige Zustimmung erlauben, mit einer Liste verbotener Aktionen wie Denial of Service. Wir prüfen vor dem Test die aktuelle Richtlinie Ihres Anbieters und halten uns an sie.
Reicht reiner Lesezugriff aus?
Für die Prüfung der Konfiguration ja. Um Angriffspfade zu validieren, brauchen wir die Identitäten mit geringen Rechten, bei denen die Pfade beginnen; sie werden für den Test angelegt und danach entfernt.
Wir nutzen ein Werkzeug für Cloud Security Posture Management. Was bleibt da noch zu finden?
Solche Werkzeuge listen Fehlkonfigurationen einzeln auf. Selten zeigen sie, welche drei davon sich zu einem Pfad zu den Daten verbinden oder welche von zweihundert Warnungen wirklich zählt. Dafür ist diese Prüfung da.
Externe und interne Penetrationstests von Netzwerken und Active Directory: von einem exponierten Dienst oder einem einzelnen Arbeitsplatzrechner bis zur Kontrolle über die Domäne.