Test d'intrusion cloud
Mettez au jour les chemins d'attaque liés à l'identité et aux erreurs de configuration dans vos environnements AWS, Azure et GCP.
Aperçu
Le test d'intrusion cloud évalue les environnements cloud pour détecter les erreurs de configuration et les chemins d'attaque basés sur l'identité que les tests d'intrusion traditionnels manquent, tels que les IAM trop permissifs, le stockage exposé, l'abus des métadonnées et l'élévation de privilèges entre les services cloud natifs. Il combine une revue de configuration selon les CIS Benchmarks avec une exploitation pratique. Il évalue les environnements cloud par des attaques simulées sur AWS, Azure et Google Cloud. Les tests reflètent le modèle de responsabilité partagée, en se concentrant sur les erreurs de configuration cloud et les faiblesses d'identité qu'il incombe au client de sécuriser.
Méthodologie et standards
CIS Benchmarks (AWS/Azure/GCP), politiques de test des fournisseurs et MITRE ATT&CK for Cloud, dans le cadre de PTES et NIST SP 800-115. Chaque engagement couvre la revue de la surface d'attaque, l'évaluation de la configuration, la validation du contrôle d'accès, ainsi que les considérations de récupération et de résilience.
Ce qui est inclus
Ce que vous recevez
Questions fréquentes
Pour la plupart des ressources exploitées par l'utilisateur, les fournisseurs autorisent désormais les tests sans approbation préalable, mais certains services managés exigent encore une notification. Nous confirmons la politique du fournisseur lors du cadrage et la respectons.
Non. Les outils de posture signalent les erreurs de configuration ; nous les exploitons, en transformant un rôle trop permissif ou un identifiant exposé en véritable élévation de privilèges et accès aux données.
Oui. Un engagement combiné cartographie comment un point d'appui au niveau applicatif s'élève à travers l'IAM cloud, ce qui correspond au déroulement des compromissions réelles.
Les problèmes courants incluent les API non sécurisées, les permissions excessives, les erreurs de configuration des serveurs, les identifiants faibles et les logiciels obsolètes.