Identificar Configuraciones E Impactos Erróneos De Seguridad De AWS
En general se puede realizar un Pentesting en cualquier servicio de Amazon y, desde 2019, ya no se requiere la aprobación previa de la empresa.
Se pueden realizar los siguientes tipos de análisis en la nube:
- Servicios operados por el usuario: en este caso hay poca o ninguna interacción con el proveedor de alojamiento (como EC2) y, en términos generales, pueden ser probados a fondo y con pocas restricciones, excepto la denegación de servicio (DDoS) y las interrupciones relacionadas con la continuidad del negocio.
- Servicios operados por el proveedor: ofertas en la nube que son propiedad del operador y son operadas por el proveedor y que se proporcionan "como un servicio". Ejemplos serían los servicios de Gmail, Dropbox, Salesforce y AWS como Cloudfront. Eso no quiere decir que las implementaciones de estos no tienen vulnerabilidades, sino que las pruebas se centran en la implementación y la configuración, en lugar de las pruebas de infraestructura que son propiedad del proveedor.
La arquitectura de AWS se compone de un conjunto de API profundamente integrados en el ecosistema de AWS y es necesario probar una variedad de configuraciones específicas de AWS, que incluyen lo siguiente:
- Explotación de instancia y aplicación EC2
- Orientación y compromiso de claves de AWS IAM
- Prueba de la configuración de S3 y fallas en los permisos
- Establecer acceso a la nube privada a través de las funciones Lambda
- Cubrir pistas al ofuscar registros de CloudTrail
Este enfoque está diseñado desde el punto de vista de auditoría para realizar un análisis de seguridad exhaustiva de la infraestructura de AWS y se recomienda este enfoque en vez de uno centrado en el atacante.
Fuente: RhinoSecurity
Via: feedproxy.google.com
Identificar Configuraciones E Impactos Erróneos De Seguridad De AWS
Reviewed by Anónimo
on
9:31
Rating:
Reviewed by Anónimo
on
9:31
Rating:
