Evaluación de entornos AWS, Azure, Google Cloud y Kubernetes: identidades, exposición de red, almacenes de datos y rutas desde un primer punto de apoyo hasta el control total.
En la nube, el perímetro es un documento de políticas. Un rol que puede asignar otro rol, un bucket de almacenamiento que cualquier usuario autenticado puede leer, un servicio de metadatos accesible desde una aplicación web: cada uno parece inofensivo por separado y, juntos, forman una ruta desde internet hasta los datos.
Revisamos la configuración con acceso de solo lectura y después probamos lo que significa en la práctica: partiendo de la posición de alguien externo, de una carga de trabajo comprometida y de una cuenta de desarrollador, seguimos los permisos para ver hasta dónde llega cada uno.
01Alcance
Qué ponemos a prueba
Gestión de identidades y accesos: usuarios, roles, políticas, federación, cuentas de servicio
Rutas de escalada de privilegios y confianza entre cuentas
Red: grupos de seguridad, endpoints públicos, peering, enlaces privados
Almacenamiento y bases de datos: acceso público, cifrado, copias de seguridad, instantáneas
Cómputo: metadatos de las instancias, funciones serverless, imágenes de contenedores
Kubernetes: RBAC, seguridad de los pods, políticas de red, control de admisión, secretos
Secretos y claves: gestores, rotación, secretos en el código y en variables de entorno
Registro y detección: qué puede hacer un atacante sin quedar registrado
Pipeline de entrega: permisos de los runners y de los roles de despliegue
02Enfoque
Cómo se realiza el trabajo
01
Revisión de la configuración
Con acceso de solo lectura recopilamos la configuración y la comparamos con los CIS Benchmarks y con las recomendaciones del proveedor.
02
Análisis de rutas de ataque
Los permisos se modelan como un grafo. Buscamos las rutas que llevan desde una identidad con pocos privilegios hasta el control administrativo o hasta los datos.
03
Validación
Las rutas relevantes se recorren de verdad, dentro de los límites de las reglas de enfrentamiento, para separar lo teórico de lo explotable.
04
Pruebas de cargas de trabajo
Desde dentro de un contenedor o de una función probamos a qué puede llegar una carga de trabajo comprometida: metadatos, servicios vecinos, el plano de control.
Los grandes proveedores publican políticas que permiten probar los recursos propios sin aprobación previa, con una lista de acciones prohibidas, como la denegación de servicio. Antes de las pruebas comprobamos la política vigente de su proveedor y nos mantenemos dentro de ella.
¿Basta con acceso de solo lectura?
Para la revisión de la configuración, sí. Para validar las rutas de ataque necesitamos las identidades con pocos privilegios desde las que parten; se crean para la prueba y se eliminan después.
Usamos una herramienta de gestión de la postura de seguridad en la nube. ¿Qué queda por encontrar?
Las herramientas de postura enumeran las configuraciones incorrectas una a una. Rara vez muestran qué tres de ellas se combinan en una ruta hasta los datos o cuál de doscientas advertencias importa realmente. Ese es el propósito de esta evaluación.
Pruebas de penetración externas e internas de redes y Active Directory: desde un servicio expuesto o un único puesto de trabajo hasta el control del dominio.