AWS-, Azure-, Google Cloud- ja Kubernetes-ympäristöjen arviointi: identiteetit, verkon altistuminen, tietovarastot ja polut ensimmäisestä jalansijasta täyteen hallintaan.
Pilvessä ulkoreunan muodostaa käyttöoikeuskäytäntö. Rooli, joka voi luovuttaa toisen roolin, tallennussäilö, jonka kuka tahansa tunnistautunut käyttäjä voi lukea, metatietopalvelu, johon verkkosovelluksesta pääsee: kukin näyttää yksinään vaarattomalta, mutta yhdessä ne muodostavat polun internetistä tietoihin.
Käymme konfiguraation läpi lukuoikeuksin ja testaamme sitten, mitä se tarkoittaa käytännössä. Lähdemme ulkopuolisen, vaarantuneen työkuorman ja kehittäjän tunnuksen asemasta ja seuraamme käyttöoikeuksia nähdäksemme, kuinka pitkälle kukin niistä pääsee.
01Laajuus
Mitä testaamme
Identiteetin- ja pääsynhallinta: käyttäjät, roolit, käytännöt, federointi, palvelutilit
Oikeuksien korotuspolut ja tilien väliset luottamussuhteet
Salaisuudet ja avaimet: hallintapalvelut, kierrätys, salaisuudet koodissa ja ympäristömuuttujissa
Lokitus ja havaitseminen: mitä hyökkääjä voi tehdä ilman, että siitä jää merkintää
Toimitusputki: ajoympäristöjen ja käyttöönottoroolien oikeudet
02Toimintatapa
Miten työ tehdään
01
Konfiguraation läpikäynti
Keräämme konfiguraation lukuoikeuksin ja vertaamme sitä CIS Benchmarks -suosituksiin ja palveluntarjoajan omiin suosituksiin.
02
Hyökkäyspolkujen analyysi
Käyttöoikeudet mallinnetaan graafina. Etsimme polkuja, jotka johtavat vähäisin oikeuksin toimivasta identiteetistä pääkäyttäjän oikeuksiin tai tietoihin.
03
Validointi
Merkitykselliset polut kuljetaan todella testauksen sääntöjen rajoissa, jotta teoreettinen erotetaan hyödynnettävästä.
04
Työkuormien testaus
Kontin tai funktion sisältä testaamme, mihin vaarantunut työkuorma ulottuu: metatietoihin, viereisiin palveluihin, hallintatasoon.
Onko meidän ilmoitettava pilvipalveluntarjoajalle?
Suuret palveluntarjoajat julkaisevat käytäntöjä, jotka sallivat omien resurssien testauksen ilman ennakkohyväksyntää, ja luettelon kielletyistä toimista, kuten palvelunestohyökkäyksistä. Tarkistamme palveluntarjoajasi voimassa olevan käytännön ennen testausta ja pysymme sen rajoissa.
Riittääkö lukuoikeus?
Konfiguraation läpikäyntiin riittää. Hyökkäyspolkujen validointiin tarvitsemme vähäisin oikeuksin toimivat identiteetit, joista polut alkavat; ne luodaan testiä varten ja poistetaan sen jälkeen.
Käytämme pilven tietoturvatilan valvontatyökalua. Mitä jää löydettäväksi?
Tällaiset työkalut luettelevat virheelliset määritykset yksi kerrallaan. Ne näyttävät harvoin, mitkä kolme niistä yhdistyvät poluksi tietoihin tai mikä kahdestasadasta varoituksesta todella on merkityksellinen. Juuri siihen tämä arviointi on tarkoitettu.
Verkkojen ja Active Directoryn ulkoinen ja sisäinen penetraatiotestaus: näkyvillä olevasta palvelusta tai yksittäisestä työasemasta toimialueen hallintaan.