„AWS“, „Azure“, „Google Cloud“ ir „Kubernetes“ aplinkų vertinimas: tapatybės, tinklo atvirumas, duomenų saugyklos ir keliai nuo įsitvirtinimo iki visiškos kontrolės.
Debesijoje perimetras yra politikos dokumentas. Vaidmuo, galintis perduoti kitą vaidmenį, saugyklos talpykla (angl. bucket), kurią gali skaityti bet kuris autentifikuotas naudotojas, metaduomenų paslauga, pasiekiama iš žiniatinklio programos: kiekvienas šių elementų atskirai atrodo nekenksmingas, o kartu jie sudaro kelią iš interneto iki duomenų.
Konfigūraciją peržiūrime turėdami tik skaitymo prieigą, tada tikriname, ką ji reiškia praktiškai: pradėdami nuo pašalinio asmens, perimto darbo krūvio (angl. workload) ir kūrėjo paskyros pozicijų, sekame teises ir žiūrime, kaip toli pavyksta nueiti iš kiekvienos jų.
01Apimtis
Ką testuojame
Tapatybių ir prieigos valdymas: naudotojai, vaidmenys, politikos, federacija, tarnybinės paskyros
Teisių eskalavimo keliai ir pasitikėjimas tarp paskyrų
Tinklas: saugumo grupės, vieši galiniai taškai, tinklų sujungimas (angl. peering), privačiosios jungtys
Saugyklos ir duomenų bazės: vieša prieiga, šifravimas, atsarginės kopijos, momentinės kopijos
Skaičiavimo ištekliai: egzempliorių metaduomenys, beserverės funkcijos, konteinerių atvaizdai
„Kubernetes“: RBAC, podų saugumas, tinklo politikos, priėmimo kontrolė (angl. admission control), paslaptys
Paslaptys ir raktai: paslapčių valdymo priemonės, rotacija, paslaptys kode ir aplinkos kintamuosiuose
Žurnalai ir aptikimas: ką užpuolikas gali padaryti nepalikdamas įrašų
Pristatymo konvejeris: vykdyklių ir diegimo vaidmenų teisės
02Darbo eiga
Kaip atliekamas darbas
01
Konfigūracijos peržiūra
Turėdami tik skaitymo prieigą, surenkame konfigūraciją ir palyginame ją su CIS Benchmarks bei paslaugų teikėjo rekomendacijomis.
02
Atakos kelių analizė
Teises modeliuojame kaip grafą. Ieškome kelių, vedančių nuo mažų teisių tapatybės iki administratoriaus kontrolės arba iki duomenų.
03
Tikrinimas praktikoje
Svarbius kelius iš tikrųjų pereiname, laikydamiesi testavimo taisyklių, kad atskirtume teorines galimybes nuo tų, kuriomis galima pasinaudoti.
04
Darbo krūvių testavimas
Iš konteinerio arba funkcijos vidaus testuojame, ką gali pasiekti perimtas darbo krūvis: metaduomenis, gretimas paslaugas, valdymo plokštumą.
Didieji paslaugų teikėjai skelbia politikas, kurios leidžia be išankstinio pritarimo testuoti jūsų pačių išteklius, ir nurodo draudžiamus veiksmus, pavyzdžiui, paslaugos trikdymą (DoS). Prieš testuodami patikriname galiojančią jūsų paslaugų teikėjo politiką ir jos laikomės.
Ar pakanka tik skaitymo prieigos?
Konfigūracijos peržiūrai – taip. Kad patikrintume atakos kelius praktikoje, mums reikia mažų teisių tapatybių, nuo kurių tie keliai prasideda; jos sukuriamos testui ir po jo pašalinamos.
Naudojame debesijos saugumo būklės įrankį. Ką dar lieka rasti?
Saugumo būklės įrankiai netinkamas konfigūracijas išvardija po vieną. Jie retai parodo, kurios trys iš jų kartu sudaro kelią iki duomenų arba kuris iš dviejų šimtų perspėjimų iš tikrųjų svarbus. Tam ir skirtas šis vertinimas.