Vurdering av AWS-, Azure-, Google Cloud- og Kubernetes-miljøer: identiteter, eksponering i nettverket, datalagre og veier fra et første fotfeste til full kontroll.
I skyen er perimeteren et policydokument. En rolle som kan tildele en annen rolle, en lagringsbøtte som alle autentiserte brukere kan lese, en metadatatjeneste som kan nås fra en webapplikasjon: Hver for seg ser de ufarlige ut, og sammen utgjør de en vei fra internett til dataene.
Vi går gjennom konfigurasjonen med lesetilgang og tester deretter hva den betyr i praksis: Med utgangspunkt i posisjonen til en utenforstående, til en kompromittert arbeidslast og til en utviklerkonto følger vi rettighetene for å se hvor langt hver av dem kommer.
01Omfang
Hva vi tester
Identitets- og tilgangsstyring: brukere, roller, policyer, føderasjon, tjenestekontoer
Veier til eskalering av rettigheter og tillit mellom kontoer
Kubernetes: RBAC, sikkerhet for poder, nettverkspolicyer, admission control, hemmeligheter
Hemmeligheter og nøkler: tjenester for hemmelighetshåndtering, rotasjon, hemmeligheter i kode og i miljøvariabler
Logging og deteksjon: hva en angriper kan gjøre uten å bli registrert
Leveransepipeline: tilgangene til runnere og utrullingsroller
02Fremgangsmåte
Slik utføres arbeidet
01
Gjennomgang av konfigurasjonen
Med lesetilgang samler vi inn konfigurasjonen og sammenligner den med CIS Benchmarks og med anbefalingene fra leverandøren.
02
Analyse av angrepsveier
Rettighetene modelleres som en graf. Vi leter etter veiene som fører fra en identitet med lave rettigheter til administrativ kontroll eller til dataene.
03
Validering
Veiene som betyr noe, prøves i praksis, innenfor reglene for gjennomføring, for å skille det teoretiske fra det som kan utnyttes.
04
Testing av arbeidslaster
Fra innsiden av en container eller en funksjon tester vi hva en kompromittert arbeidslast kan nå: metadata, tjenester ved siden av, kontrollplanet.
Poengsum og vektor for alvorlighetsgraden til hvert funn.
FIRST
06Spørsmål
Spørsmål om denne tjenesten
Må vi varsle skyleverandøren?
De store leverandørene publiserer retningslinjer som tillater testing av dine egne ressurser uten godkjenning på forhånd, med en liste over forbudte handlinger, for eksempel tjenestenektangrep. Vi kontrollerer de gjeldende retningslinjene til leverandøren din før testingen og holder oss innenfor dem.
Er lesetilgang nok?
For gjennomgangen av konfigurasjonen, ja. For å validere angrepsveier trenger vi identitetene med lave rettigheter som veiene starter fra; de opprettes for testen og fjernes etterpå.
Vi bruker et verktøy som overvåker sikkerhetsstatusen i skyen. Hva er det igjen å finne?
Slike verktøy lister opp feilkonfigurasjoner én etter én. De viser sjelden hvilke tre av dem som til sammen blir en vei til dataene, eller hvilke av to hundre advarsler som faktisk betyr noe. Det er formålet med denne vurderingen.