PENTEST: CLOUD

SCHÜTZEN SIE IHRE CLOUD-UMGEBUNG

WAS SIND EINFALLSTORE FÜR ANGREIFER?

Der Trend, Daten in Clouds wie AWS, Azure oder der Google-Cloud zu speichern ist ungebrochen. Mit dem Umzug in die Cloud verlieren Unternehmen jedoch nicht die gesamte Verantwortung für den Schutz dieser Daten. Während die Provider für den Schutz der Cloud selbst verantwortlich sind, müssen Sie als Nutzer die Sicherheit Ihrer Daten sicherstellen.

Die zugrundeliegende Cloud-Infrastruktur kann noch so sicher sein – werden Anwendungen in der Cloud falsch aufgesetzt, schwache Passwörter verwendet oder Berechtigungen nicht restriktiv genug gesetzt, können Angreifer diese Schwachstellen ausnutzen, um möglicherweise die gesamte Cloud-Infrastruktur zu kompromittieren.

Bei unserem Cloud Pentest untersuchen unsere Security Analysten Ihre gesamte Cloud-Umgebung umfassend und identifizieren mögliche Einfallstore für Angreifer.

 

HÄUFIGE SCHWACHSTELLEN SIND BEISPIELSWEISE:

 
 
  • Falsch konfigurierte User- und Zugriffsverwaltung (Fehlerhaft konfigurierte IAM-Policies)
  • Unberechtigtes Auslesen von Daten (z.B. fehlkonfigurierte AWS S3 Buckets)
  • Je nach Betriebskonzept typische Schwachstellen in herkömmlichen IT-Systemen und Webanwendungen (bspw. bei klassischem Rehosting nach „Lift and Shift“).
 
 

 

WIE GEHEN WIR VOR?

Wir führen Pentests anhand einer einheitlichen Methodik durch, die bei Cloud Pentests um spezifische Elemente erweitert wird:

Bei der Überprüfung auf Schwachstellen von Systemen und Anwendungen in Cloud-Umgebungen greifen unsere Security Analysen auf ihre langjährige Erfahrung mit Pentests traditioneller On-Premise-Lösungen zurück. Zusätzlich wird Ihre Umgebung zusätzlich auf Verwundbarkeiten von Cloud-Diensten untersucht. Dabei setzen unsere Security Analysten etablierte Cloud-spezifische Tools ein. Die Resultate werden in unsere usd HeroLab Toolchain integriert. Die so gewonnen Informationen fließen anschließend in die manuelle Überprüfung Ihrer Cloud-Umgebung ein.

WELCHE ÜBERPRÜFUNGEN SIND BESTANDTEIL?

Beim Pentest Ihrer Anwendungen und Systeme in der Cloud sind die Prüfungen des System Pentest bzw. Pentest von Webapplikationen Bestandteil. Zusätzlich werden Cloud-spezifische Tests im Rahmen des Cloud-Pentest durchgeführt, wie z.B.:

  • Untersuchung von AWS S3 Buckets auf Fehlkonfigurationen in der Zugriffsberechtigung
  • Code Review der eingesetzten Lambda-Funktionen
  • Rechteausweitung durch fehlkonfigurierte IAM-Rollen
  • Unberechtigter Zugriff auf den Metadaten-Dienst von EC2 Instanzen oder Azure VMs
  • Fehlkonfigurationen bei der Integration lokaler AD-Domänen in Azure AD
 

 
 

Werden Infrastrukturen in der Cloud betrieben, müssen weitere Angriffsvektoren bedacht werden. Denn werden Cloudservices unsicher konfiguriert, kann eine Kompromittierung Ihrer Daten die Folge sein. Daher empfehlen wir Ihnen, durch ein Audit die sichere Konfiguration Ihrer Cloud-Subscription zu überprüfen. Für detaillierte Informationen sprechen Sie uns gerne an.

 
 

 

KÖNNEN ANGREIFER IN IHRE SYSTEME EINDRINGEN?

Gerne beraten wir Sie zu Ihren Möglichkeiten, Ihre Cloud-Umgebung von unseren Security Analysten überprüfen zu lassen. Sprechen Sie uns einfach an.

Kontaktieren Sie uns