Cloud-Security-Assessment
Das meiste Cloud-Risiko steckt in Konfiguration und Identitäten und ist von außen nicht sichtbar. Als Teil unseres Sicherheitsaudits prüfen wir Ihre AWS-, Azure- oder GCP-Konfiguration gegen die CIS Benchmarks, mit Fokus auf die Ebene, für die Sie im Shared-Responsibility-Modell verantwortlich sind.
Konfigurations- & Identitätsprüfung
Es handelt sich um eine Cloud-Konfigurationsprüfung als Teil unseres Sicherheitsaudits, nicht um einen eigenständigen Cloud-Pentest. Der sicherheitsrelevante Zustand steckt in Konfiguration und IAM, daher prüfen wir ihn direkt gegen die CIS Foundations Benchmarks, ergänzt durch die CSA Cloud Controls Matrix.
- Identität & Zugriff: überberechtigtes IAM und Privilege-Escalation-Pfade
- Speicher: öffentliche Zugriffsexposition und Verschlüsselung at Rest
- Netzwerk: Security-Group- und Firewall-Regeln sowie exponierte Dienste
- Logging, Monitoring und Key-Management
- Role-Assumption und konten- / mandantenübergreifendes Vertrauen
- Konfiguration abgebildet auf CIS-Benchmark-Controls (und CSA-CCM-Domänen)
Authentifiziert, konfigurationszentriert
Wir arbeiten im Grey- oder White-Box-Modus aus einer Auditor-Rolle mit reinem Lesezugriff, weil die relevanten Befunde in Konfiguration und Identitäten liegen. Native Werkzeuge helfen, doch jeder Befund wird manuell validiert. Aktive Tests bleiben stets innerhalb der Penetrationstest-Richtlinie des jeweiligen Anbieters und des Shared-Responsibility-Modells. Wir testen Ihre Konfiguration und Deployments, nicht die Infrastruktur des Anbieters, und führen niemals Denial-of-Service-Tests gegen einen Anbieter durch.
- 1
Scoping & Autorisierung
Wir vereinbaren die Konten im Umfang, holen eine schriftliche Autorisierung ein und unterzeichnen vor jedem Zugriff ein NDA.
- 2
Authentifizierte Konfigurationsprüfung
Mit einer schreibgeschützten Auditor-Rolle prüfen wir die Konfiguration gegen die CIS Benchmarks über die Dienste hinweg.
- 3
Identitäts- & Privilegienanalyse
Wir analysieren IAM auf Überberechtigung sowie Privilege-Escalation- und Trust-Abuse-Pfade.
- 4
Test exponierter Assets
Wir testen extern erreichbare Assets und validieren Befunde, streng innerhalb der Testrichtlinie des jeweiligen Anbieters.
- 5
Berichterstattung & kostenloser Re-Test
Sie erhalten einen priorisierten Bericht, abgebildet auf die CIS-Controls. Behobene Punkte testen wir ohne Mehrkosten erneut, innerhalb des im Statement of Work festgelegten Zeitfensters.
Was Sie erhalten
Ein Bericht, der Konfigurationserkenntnisse auf anerkannte Cloud-Baselines abbildet, mit der Tiefe unseres Beispielberichts und klarer, umsetzbarer Behebung.
- Management Summary und Gesamtprofil
- Konfigurationserkenntnisse abgebildet auf die einschlägigen CIS-Benchmark-Controls
- Befunde zu IAM und Privilege Escalation mit Nachweis und Reproduktion
- Schweregrad ausnutzbarer Befunde nach CVSS 3.1, Profil-Befunde nach Benchmark-Schweregrad
- Behebung ausgerichtet an den CIS-Benchmark-Leitlinien
- Kostenloser Re-Test behobener Probleme innerhalb des im SoW festgelegten Zeitfensters
Gegründet auf CIS Benchmarks & CSA CCM
Die Konfiguration wird gegen die CIS Foundations Benchmarks für AWS, Azure und GCP geprüft, ergänzt durch die CSA Cloud Controls Matrix. Aktive Tests bleiben innerhalb der Penetrationstest-Richtlinie von AWS, Azure bzw. GCP und des Shared-Responsibility-Modells: Wir testen Ihre Konfiguration, nicht die Infrastruktur des Anbieters, und führen niemals DoS-Tests durch. Anbieterrichtlinien und CIS-Versionen ändern sich, daher bestätigen wir die geltenden Versionen und Regeln beim Scoping erneut. Reine Konfigurationsbefunde werden nach dem Schweregrad des Benchmarks bewertet und nicht nach CVSS, das für Software-Schwachstellen gedacht ist.