Granskning av miljöer i AWS, Azure, Google Cloud och Kubernetes: identiteter, exponering mot nätverket, datalager och vägar från ett fotfäste till full kontroll.
I molnet är perimetern ett policydokument. En roll som kan tilldela en annan roll, en lagringsbucket som kan läsas av alla autentiserade användare, en metadatatjänst som kan nås från en webbapplikation: var för sig ser de ofarliga ut, tillsammans är de en väg från internet till data.
Vi granskar konfigurationen med läsbehörighet och testar sedan vad den innebär i praktiken: med utgångspunkt i en utomståendes position, i en komprometterad arbetslast och i ett utvecklarkonto följer vi behörigheterna för att se hur långt var och en kommer.
01Omfattning
Vad vi testar
Identitets- och åtkomsthantering: användare, roller, policyer, federation, tjänstekonton
Vägar för behörighetseskalering och förtroende mellan konton
Hemligheter och nycklar: hanterare, rotation, hemligheter i kod och i miljövariabler
Loggning och detektering: vad en angripare kan göra utan att det registreras
Leveranspipeline: behörigheter för runners och driftsättningsroller
02Arbetssätt
Så utförs arbetet
01
Granskning av konfigurationen
Med läsbehörighet samlar vi in konfigurationen och jämför den med CIS Benchmarks och med leverantörens rekommendationer.
02
Analys av attackvägar
Behörigheterna modelleras som en graf. Vi letar efter de vägar som leder från en identitet med låga behörigheter till administrativ kontroll eller till data.
03
Validering
De vägar som har betydelse prövas på riktigt, inom uppdragsreglernas gränser, för att skilja det teoretiska från det som går att utnyttja.
04
Testning av arbetslaster
Inifrån en container eller en funktion testar vi vad en komprometterad arbetslast kan nå: metadata, närliggande tjänster, kontrollplanet.
Poäng och vektor för allvarlighetsgraden hos varje fynd.
FIRST
06Frågor
Frågor om den här tjänsten
Måste vi meddela molnleverantören?
De stora leverantörerna publicerar policyer som tillåter testning av dina egna resurser utan förhandsgodkännande, med en lista över förbjudna aktiviteter som överbelastningsattacker. Vi går igenom din leverantörs aktuella policy före testningen och håller oss inom den.
Räcker det med läsbehörighet?
För granskningen av konfigurationen, ja. För att validera attackvägar behöver vi de identiteter med låga behörigheter som vägarna utgår från; de skapas för testet och tas bort efteråt.
Vi använder ett verktyg som bevakar molnets säkerhetsstatus. Vad finns kvar att hitta?
Sådana verktyg listar felkonfigurationer en i taget. De visar sällan vilka tre av dem som tillsammans blir en väg till data, eller vilken av tvåhundra varningar som faktiskt spelar roll. Det är syftet med den här granskningen.
Externa och interna penetrationstester av nätverk och Active Directory: från en exponerad tjänst eller en enda arbetsstation till kontroll över domänen.