Cloud Penetration Testing: AWS, Azure und GCP sicher machen

Dieser Leitfaden bietet Ihnen alles, was Sie benötigen, um diese Art von Test zu verstehen, zu planen und durchzuführen – mit praktischen Anleitungen, die Sie sofort umsetzen können.

Das Modell der gemeinsamen Verantwortung

Cloud-Anbieter sichern die Plattform. Sie sichern alles, was Sie darauf aufbauen. Diese Unterscheidung – das Modell der gemeinsamen Verantwortung – ist der Ursprung der überwiegenden Mehrheit der Cloud-Sicherheitsverletzungen. Nicht Fehler in der Infrastruktur von AWS oder Azure, sondern Fehlkonfigurationen bei der Nutzung dieser Dienste durch die Kunden. Übermäßig freizügige IAM-Rollen, öffentlich zugängliche Storage Buckets, unsichere Service-to-Service-Kommunikation, in Klartext-Umgebungsvariablen gespeicherte Geheimnisse – dies sind die Erkenntnisse, die Cloud-Pentest-Berichte dominieren.

IAM: Die Kronjuwelen

Identity and Access Management ist die wichtigste – und am häufigsten falsch konfigurierte – Schicht in jeder Cloud-Umgebung. Cloud-Penetration Testing muss bewerten, ob IAM-Richtlinien Least-Privilege-Prinzipien folgen, ob ungenutzte Rollen und Anmeldeinformationen vorhanden sind, ob Privilege-Escalation-Pfade es einem kompromittierten Dienst ermöglichen, auf sensible Ressourcen zuzugreifen, und ob der Cross-Account-Zugriff ordnungsgemäß eingeschränkt ist. Eine einzige übermäßig freizügige Lambda-Ausführungsrolle kann einem Angreifer Zugriff auf jeden S3 Bucket in Ihrem Konto ermöglichen.

Storage und Datenexposition

Die Anzahl der Datenschutzverletzungen, die auf falsch konfigurierte S3 Buckets, Azure Blob Container oder GCP Cloud Storage Objekte zurückzuführen sind, ist erschreckend. Tests müssen überprüfen, ob Storage-Berechtigungen korrekt definiert sind, ob öffentlicher Zugriff dort, wo er existiert, beabsichtigt ist, ob Verschlüsselung im Ruhezustand und während der Übertragung angewendet wird und ob die Protokollierung den Zugriff auf sensible Objekte erfasst.

Netzwerk- und Dienstkonfiguration

Cloud-Netzwerktests bewerten Security Groups, Netzwerk-ACLs, VPC-Konfigurationen, exponierte Dienste und die Kommunikationspfade zwischen Cloud-Ressourcen. Kann ein Angreifer interne Dienste über das öffentliche Internet erreichen? Sind Verwaltungsschnittstellen (RDP, SSH, Admin-Konsolen) ordnungsgemäß eingeschränkt? Ist der East-West-Traffic zwischen Diensten verschlüsselt und authentifiziert?

Warum Provider-Expertise wichtig ist

Penetrify's Cloud Penetration Testing deckt AWS, Azure und GCP ab, mit Testern, die Cloud-spezifische Zertifizierungen besitzen und die Nuancen des Sicherheitsmodells jedes Anbieters verstehen. Der Unterschied zwischen einem Cloud-affinen Pentester und einem Generalisten, der die Cloud wie jedes andere Netzwerk behandelt, ist der Unterschied zwischen dem Auffinden der IAM Privilege Escalation Chain, die zu einer vollständigen Konto-Kompromittierung führt, und der Erstellung eines Berichts mit generischen CVEs, die das tatsächliche Risiko verfehlen.