Pentest de la Nube
Las pruebas de penetración en la nube se centran en los fallos de diseño, despliegue y configuración de los entornos alojados en la nube. Los probadores de penetración utilizan una amplia gama de herramientas, técnicas y procedimientos para evaluar la posición de una organización desde una perspectiva tanto externa como interna. Las configuraciones erróneas y las políticas de acceso defectuosas han desempeñado un papel importante en las recientes violaciones de la seguridad.
Metodología
Los Pen Testers siguen las mejores prácticas y metodologías de ataque para proporcionar una evaluación completa y exhaustiva de la seguridad en la nube. El proceso incluye varios medios para buscar servicios de almacenamiento mal configurados, como cubos de AWS S3 o Azure Storage Blobs, enumeración de unidades de Azure Active Directory, escalada de privilegios utilizando Azure Runbooks y cuentas de automatización, exfiltración y minería de datos.
Reconocimiento:
• Descubrir y aprovechar la información disponible públicamente
• Búsqueda de claves de acceso filtradas en repositorios públicos de GitHub
• Descubrimiento de servicios de almacenamiento mal configurados
Descubrimiento:
• Escaneo de puertos
• Huella digital del sistema
- Enumeración de servicios
Análisis de vulnerabilidad:
• Investigación de exploits
Post-Explotación:
• Pruebas manuales de vulnerabilidad y verificación de las vulnerabilidades identificadas
• Pruebas de cortafuegos y sistemas de detección/prevención de intrusiones
• Pulverización de contraseñas con contraseñas comunes y débiles
Post-Explotación:
• Enumeración del sistema local
• Enumeración de la red y pivoteo
• Identificación y extracción de datos sensibles
• Exfiltración
