Cloud Penetration Test
Penetratietests voor de cloud zijn gericht op ontwerp-, implementatie- en configuratiefouten in omgevingen die in de cloud worden gehost. Penetratietesters maken gebruik van een breed scala aan tools, technieken en procedures om de positie van een organisatie vanuit zowel een extern als intern perspectief te beoordelen. Misconfiguraties en een gebrekkig toegangsbeleid hebben een belangrijke rol gespeeld bij recente beveiligingsinbreuken.
Cloud Execution Methodology
Pen testers volgen de best practices en aanvalsmethodologieën om een complete en uitgebreide cloud security assessment uit te voeren. Het proces omvat verschillende middelen voor het zoeken naar verkeerd geconfigureerde opslagdiensten zoals AWS S3-buckets of Azure Storage Blobs, opsomming van Azure Active Directory-eenheden, privilege-escalatie met behulp van Azure Runbooks en automatiseringsaccounts, gegevens exfiltratie en mijnbouw.
Verkenning:
– Het ontdekken en gebruiken van publiek beschikbare informatie
– Zoeken naar gelekte toegangssleutels in publieke GitHub repositories
– Ontdekken van verkeerd geconfigureerde opslagdiensten
Ontdekking:
– Scannen van poorten
– Systeem vingerafdrukken
– Services opsommen
Kwetsbaarheidsanalyse:
– Onderzoek naar uitbuiting
Exploitatie:
– Handmatig testen van kwetsbaarheden en verificatie van geïdentificeerde kwetsbaarheden
– Testen van firewall- en inbraakdetectie-/preventiesystemen
– Wachtwoordspraying met gewone en zwakke wachtwoorden
Post-exploitatie:
– Lokale systeemtelling
– Opsomming van het netwerk en pivoting
– Identificatie en ontginnen van gevoelige gegevens
– Exfiltratie
