Оценка безопасности облака
Большинство облачных рисков скрыто в конфигурации и управлении доступом, и снаружи их не видно. В рамках нашего аудита безопасности мы проверяем конфигурацию AWS, Azure или GCP по CIS Benchmarks и сосредотачиваемся на том слое, за который по модели разделённой ответственности отвечаете вы.
Обзор конфигурации и идентификации
Это проверка конфигурации облака в рамках нашего аудита безопасности, а не отдельная услуга облачного пентеста. Всё значимое для безопасности находится в конфигурации и IAM, поэтому мы проверяем их напрямую по CIS Foundations Benchmarks и дополнительно по CSA Cloud Controls Matrix.
- Идентификация и доступ: избыточно разрешительный IAM и пути повышения привилегий
- Хранение: открытость публичного доступа и шифрование при хранении
- Сеть: правила групп безопасности и межсетевого экрана и открытые сервисы
- Журналирование, мониторинг и управление ключами
- Принятие ролей и межаккаунтное / межарендаторное доверие
- Конфигурация, сопоставленная со средствами защиты CIS Benchmark (и доменами CSA CCM)
Аутентифицированно, с упором на конфигурацию
Мы работаем в режиме grey- или white-box из роли аудитора с доступом только на чтение, потому что значимые находки лежат в конфигурации и настройках доступа. Штатные инструменты провайдера помогают, но каждую находку мы подтверждаем вручную. Любое активное тестирование не выходит за рамки политики тестирования на проникновение каждого провайдера и модели разделённой ответственности. Мы тестируем вашу конфигурацию и развёртывания, а не инфраструктуру провайдера, и никогда не проводим атаки на отказ в обслуживании против провайдеров.
- 1
Границы работ и разрешение
Согласуем аккаунты, входящие в объём, получаем письменное разрешение на проверку и подписываем NDA до любого доступа.
- 2
Аутентифицированный обзор конфигурации
Из роли аудитора только на чтение проверяем конфигурацию по CIS Benchmarks по всем сервисам.
- 3
Анализ идентификации и привилегий
Анализируем IAM на избыточные права и пути повышения привилегий и злоупотребления доверием.
- 4
Тестирование открытых активов
Тестируем ресурсы, доступные снаружи, и подтверждаем находки строго в рамках политики тестирования каждого провайдера.
- 5
Отчёт и бесплатная повторная проверка
Вы получаете отчёт с приоритетами, привязанный к средствам контроля CIS, а устранённые пункты мы без дополнительной платы перепроверяем в срок, указанный в SoW.
Что вы получаете
Отчёт, сопоставляющий находки по конфигурации с признанными облачными базисами, с глубиной нашего образца отчёта и чётким, применимым исправлением.
- Краткое резюме и общий уровень защищённости
- Находки по конфигурации, сопоставленные с соответствующими средствами защиты CIS Benchmark
- Находки по IAM и повышению привилегий с доказательствами и воспроизведением
- Уровень риска для эксплуатируемых находок по CVSS 3.1; находки по защищённости оцениваются по серьёзности бенчмарка
- Исправление в соответствии с рекомендациями CIS Benchmark
- Бесплатная повторная проверка устранённых проблем в срок, указанный в SoW
Опирается на CIS Benchmarks и CSA CCM
Конфигурация проверяется по CIS Foundations Benchmarks для AWS, Azure и GCP и дополнительно по CSA Cloud Controls Matrix. Любое активное тестирование остаётся в рамках политики тестирования на проникновение AWS, Azure или GCP и модели разделённой ответственности: мы тестируем вашу конфигурацию, а не инфраструктуру провайдера, и никогда не проводим DoS. Политики провайдеров и версии CIS меняются, поэтому применимые версии и правила мы заново сверяем при определении объёма работ. Находки, касающиеся только конфигурации, оцениваются по уровню серьёзности бенчмарка, а не по CVSS, который предназначен для уязвимостей ПО.