Аудит сред AWS, Azure, Google Cloud и Kubernetes: идентификация, сетевая доступность, хранилища данных и пути от первой точки опоры к полному контролю.
В облаке периметр — это документ с политикой. Роль, которая может передать другую роль, хранилище, доступное на чтение любому аутентифицированному пользователю, сервис метаданных, достижимый из веб-приложения: по отдельности всё выглядит безобидно, а вместе образует путь из интернета к данным.
Мы изучаем конфигурацию с доступом только на чтение, а затем проверяем, что она означает на практике: с позиции постороннего, скомпрометированной рабочей нагрузки и учётной записи разработчика идём по правам доступа и смотрим, как далеко каждая из них заходит.
01Объём
Что мы проверяем
Управление доступом: пользователи, роли, политики, федерация, сервисные учётные записи
Пути повышения привилегий и доверие между аккаунтами
Сеть: группы безопасности, публичные эндпоинты, пиринг, приватные подключения
Хранилища и базы данных: публичный доступ, шифрование, резервные копии, снимки
Крупные провайдеры публикуют политики, которые разрешают тестирование собственных ресурсов без предварительного согласования и содержат перечень запрещённых действий, например отказ в обслуживании. Перед началом работ мы сверяемся с актуальной политикой вашего провайдера и не выходим за её рамки.
Достаточно ли доступа только на чтение?
Для анализа конфигурации — да. Для подтверждения путей атаки нужны низкопривилегированные учётные записи, с которых эти пути начинаются; они создаются для теста и удаляются после него.
У нас есть инструмент класса CSPM. Что останется найти?
Такие инструменты перечисляют ошибки конфигурации по одной. Они редко показывают, какие три из них складываются в путь к данным и какое из двухсот предупреждений действительно важно. В этом и состоит задача аудита.