范围
配置与身份审查
这是作为安全审计一部分交付的云配置审查，而非一项独立的云渗透测试服务。与安全相关的状态存在于配置与 IAM 之中，因此我们直接对照 CIS Foundations Benchmarks 进行审查，并辅以 CSA Cloud Controls Matrix。
通常范围
- 身份与访问：过度宽松的 IAM 与权限提升路径
- 存储：公开访问暴露与静态加密
- 网络：安全组与防火墙规则，以及暴露的服务
- 日志、监控与密钥管理
- 角色担任以及跨账户 / 跨租户信任
- 对照 CIS Benchmark 控制项（及 CSA CCM 领域）映射的配置
我们如何工作
经认证、以配置为中心
我们以只读审计员角色、采用灰盒或白盒方式工作，因为真正关键的发现都在配置与身份之中。原生工具会提供辅助，但所有发现均经人工验证。任何主动测试都受各供应商的渗透测试政策与共担责任模型约束。我们测试的是您的配置与部署，而非供应商的基础设施，并且绝不对任何供应商发起拒绝服务攻击。
- 1
范围界定与授权
我们就纳入范围的账户达成一致并取得书面授权，并在任何访问之前签署保密协议。
- 2
经认证的配置审查
我们以只读审计员角色，跨各项服务对照 CIS Benchmarks 审查配置。
- 3
身份与权限分析
我们分析 IAM 中的过度授权，以及权限提升与信任滥用路径。
- 4
暴露资产测试
我们测试对外暴露的资产并验证发现，严格遵守各供应商的测试政策。
- 5
报告与免费复测
您将获得一份对照 CIS 控制项映射、按优先级排序的报告；我们会在 SoW 约定的时间窗口内对已整改项进行免费复测。
方法论与标准
立足于 CIS Benchmarks 与 CSA CCM
CIS BenchmarksCSA CCM v4.1云供应商测试政策共担责任CVSS 3.1CWE
配置对照 AWS、Azure 与 GCP 的 CIS Foundations Benchmarks 进行审查，并辅以 CSA Cloud Controls Matrix。任何主动测试都遵守 AWS、Azure 或 GCP 的渗透测试政策与共担责任模型：我们测试的是您的配置，而非供应商的基础设施，且绝不发起 DoS。供应商政策与 CIS 版本会变化，因此我们会在界定范围时重新确认适用的版本与规则。纯配置类发现按基准的严重程度评级，而不用 CVSS，因为 CVSS 适用于软件漏洞。