Évaluation de la sécurité cloud
L'essentiel du risque cloud se trouve dans la configuration et les identités, invisibles depuis l'extérieur. Dans le cadre de notre audit de sécurité, nous examinons votre configuration AWS, Azure ou GCP au regard des CIS Benchmarks, en nous concentrant sur la couche dont vous êtes responsable selon le modèle de responsabilité partagée.
Revue de configuration & d'identité
Il s'agit d'une revue de configuration cloud réalisée dans le cadre de notre audit de sécurité, et non d'un service de pentest cloud autonome. L'état pertinent pour la sécurité réside dans la configuration et l'IAM, c'est pourquoi nous l'examinons directement au regard des CIS Foundations Benchmarks, complétés par la CSA Cloud Controls Matrix.
- Identité & accès : IAM trop permissif et chemins d'élévation de privilèges
- Stockage : exposition à un accès public et chiffrement au repos
- Réseau : règles de security-group et de pare-feu, et services exposés
- Journalisation, supervision et gestion des clés
- Endossement de rôle et confiance inter-comptes / inter-locataires
- Configuration mise en correspondance avec les contrôles CIS Benchmark (et les domaines CSA CCM)
Authentifié, centré sur la configuration
Nous travaillons en grey-box ou white-box depuis un rôle d'auditeur en lecture seule, car les constats qui comptent se trouvent dans la configuration et les identités. L'outillage natif aide, mais les constats sont validés manuellement. Tout test actif reste dans les limites de la politique de test d'intrusion de chaque fournisseur et du modèle de responsabilité partagée. Nous testons votre configuration et vos déploiements, pas l'infrastructure du fournisseur, et nous ne lançons jamais de déni de service contre un fournisseur.
- 1
Cadrage & autorisation
Nous convenons des comptes dans le périmètre et obtenons une autorisation écrite, et signons un NDA avant tout accès.
- 2
Revue de configuration authentifiée
À l'aide d'un rôle d'auditeur en lecture seule, nous examinons la configuration au regard des CIS Benchmarks à travers les services.
- 3
Analyse de l'identité & des privilèges
Nous analysons l'IAM à la recherche de permissions excessives, de chemins d'élévation de privilèges et d'abus de confiance.
- 4
Test des actifs exposés
Nous testons les actifs exposés à l'extérieur et validons les constats, strictement dans le cadre de la politique de test de chaque fournisseur.
- 5
Rapport & contre-test gratuit
Vous recevez un rapport priorisé mis en correspondance avec les contrôles CIS ; nous recontrôlons les points corrigés sans frais supplémentaires, dans le délai fixé par le SoW.
Ce que vous recevez
Un rapport qui met les constats de configuration en correspondance avec des socles cloud reconnus, avec la profondeur de notre exemple de rapport et une remédiation claire et exploitable.
- Synthèse à l'attention de la direction et posture globale
- Constats de configuration mis en correspondance avec les contrôles CIS Benchmark correspondants
- Constats IAM et d'élévation de privilèges avec preuve et reproduction
- Sévérité des constats exploitables via CVSS 3.1 ; les constats de posture sont notés selon la sévérité du benchmark
- Remédiation alignée sur les recommandations CIS Benchmark
- Contre-test gratuit des points corrigés dans le délai fixé par le SoW
Ancré dans les CIS Benchmarks & la CSA CCM
La configuration est examinée au regard des CIS Foundations Benchmarks pour AWS, Azure et GCP, complétés par la CSA Cloud Controls Matrix. Tout test actif reste dans le cadre de la politique de test d'intrusion d'AWS, d'Azure ou de GCP et du modèle de responsabilité partagée : nous testons votre configuration, pas l'infrastructure du fournisseur, et ne lançons jamais de DoS. Les politiques des fournisseurs et les versions CIS évoluent, c'est pourquoi nous reconfirmons les versions et règles applicables au cadrage. Les constats purement liés à la configuration sont notés selon la sévérité du benchmark plutôt qu'avec CVSS, conçu pour les vulnérabilités logicielles.