Avaliação de segurança da cloud
A maior parte do risco da cloud está na configuração e na identidade, que não se veem do exterior. No âmbito da nossa auditoria de segurança, revemos a sua configuração de AWS, Azure ou GCP face aos CIS Benchmarks, com foco na camada pela qual é responsável no modelo de responsabilidade partilhada.
Revisão de configuração e identidade
Trata-se de uma revisão da configuração da cloud feita no âmbito da nossa auditoria de segurança, e não de um serviço autónomo de pentest de cloud. O estado relevante para a segurança está na configuração e no IAM, pelo que o revemos diretamente face aos CIS Foundations Benchmarks, complementados pela CSA Cloud Controls Matrix.
- Identidade e acesso: IAM com permissões em excesso e caminhos de escalada de privilégios
- Armazenamento: exposição de acesso público e cifragem em repouso
- Rede: regras de security-group e de firewall, e serviços expostos
- Registo, monitorização e gestão de chaves
- Assunção de funções e confiança entre contas / entre inquilinos
- Configuração mapeada aos controlos do CIS Benchmark (e aos domínios da CSA CCM)
Autenticado, centrado na configuração
Trabalhamos em grey-box ou white-box a partir de uma função de auditor só de leitura, porque os achados que importam estão na configuração e na identidade. As ferramentas nativas ajudam, mas os achados são validados manualmente. Qualquer teste ativo respeita a política de testes de intrusão de cada fornecedor e o modelo de responsabilidade partilhada. Testamos a sua configuração e as suas implementações, não a infraestrutura do fornecedor, e nunca executamos ataques de negação de serviço contra nenhum fornecedor.
- 1
Definição do âmbito e autorização
Acordamos as contas no âmbito e obtemos autorização por escrito, e assinamos um NDA antes de qualquer acesso.
- 2
Revisão autenticada da configuração
Usando uma função de auditor só de leitura, revemos a configuração face aos CIS Benchmarks em todos os serviços.
- 3
Análise de identidade e privilégios
Analisamos o IAM em busca de permissões em excesso e de caminhos de escalada de privilégios e de abuso de confiança.
- 4
Teste de ativos expostos
Testamos os ativos expostos ao exterior e validamos os achados, sempre dentro da política de testes de cada fornecedor.
- 5
Relatório e reteste gratuito
Recebe um relatório priorizado mapeado aos controlos CIS; voltamos a testar os itens remediados sem custos adicionais, dentro do prazo fixado no SoW.
O que recebe
Um relatório que mapeia os achados de configuração a referenciais de cloud reconhecidos, com a profundidade do nosso relatório de exemplo e uma remediação clara e acionável.
- Resumo executivo e postura global
- Achados de configuração mapeados aos controlos aplicáveis do CIS Benchmark
- Achados de IAM e de escalada de privilégios, com evidência e reprodução
- Severidade dos achados exploráveis via CVSS 3.1; achados de postura classificados pela severidade do benchmark
- Remediação alinhada com a orientação do CIS Benchmark
- Reteste gratuito dos problemas remediados dentro do prazo fixado no SoW
Assente nos CIS Benchmarks e na CSA CCM
A configuração é revista face aos CIS Foundations Benchmarks para AWS, Azure e GCP, complementados pela CSA Cloud Controls Matrix. Qualquer teste ativo respeita a política de testes de intrusão da AWS, da Azure ou da GCP e o modelo de responsabilidade partilhada: testamos a sua configuração, não a infraestrutura do fornecedor, e nunca executamos DoS. As políticas dos fornecedores e as versões do CIS mudam, por isso voltamos a confirmar as versões e as regras aplicáveis na definição do âmbito. Os achados puramente de configuração são classificados pela severidade do benchmark, e não por CVSS, que se destina a vulnerabilidades de software.