Bulut, Kubernetes ve Altyapı Güvenliği
Bulut Sızma Testi
Sızmış bir anahtar veya ele geçirilmiş bir iş yüküyle bulut hesabınızda ne kadar ilerlenebileceğini test ediyoruz. Savunmanızın bu hareketleri algılayıp algılamadığını ölçüyoruz.
Nedir?
Bulut sızma testi, yapılandırma incelemesinde bulunan yolları gerçek adımlarla dener. Test, bir saldırganın tipik başlangıç noktalarından biriyle başlar. Bu nokta internete açık bir uygulama, bir sunucu veya bir geliştiricinin erişim anahtarı olabilir. Böylece hangi zafiyetin gerçekten veriye ulaştırdığı kanıtlanır.
Kapsam
- Başlangıç noktasının, hedeflerin ve yasak adımların yazılı olarak belirlenmesi
- İnternete açık bulut servisleri ve sunucusuz fonksiyonlar
- İş yükü kimlikleri üzerinden elde edilebilen yetkiler
- Rol üstlenme ve yetki yükseltme yolları
- Depolama alanlarına, veritabanlarına ve secret kasalarına erişim denemeleri
- Bulut güvenlik servislerinin ve SOC'un bu adımları görüp görmediği
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Yapılandırma incelemesinde çıkan yolların gerçekten kullanılabilir olup olmadığını görmek istediğinizde.
- Müşteri verisi barındıran yeni bir platform bulutta yayına alınmadan önce.
- Kart verisi ortamınız bulutta çalıştığında. PCI DSS, iç ve dış sızma testini en az 12 ayda bir ve önemli değişikliklerden sonra ister.
Yöntem
Nasıl çalışıyoruz?
-
Senaryo ve kurallar
Başlangıç noktasını, hedefleri ve yasak adımları sizinle yazılı olarak belirleriz.
-
Keşif
Başlangıç kimliğinin veya iş yükünün görebildiği kaynakları ve yetkileri çıkarırız.
-
İlerleme
Hedefe uzanan yolları kontrollü adımlarla deneriz. Her adımı zaman damgasıyla kaydederiz.
-
Karşılaştırma
Kayıtlarımızı bulut güvenlik servislerinizin ve SOC'unuzun gördükleriyle karşılaştırırız.
Sonuç
Çalışmanın sonunda elinizde olan
Bir saldırganın bulut hesabınızda gerçekte nereye ulaşabildiğini ve hangi adımların fark edilmediğini görürsünüz. Yolları kesen düzeltmeler ve eksik alarmlar öncelik sırasıyla yazılıdır.
Sık sorulan sorular
Bulut sağlayıcısından izin almamız gerekir mi?
AWS, Azure ve Google Cloud, yayımladıkları kurallara uyulduğu sürece müşterilerin kendi kaynaklarını önceden onaysız test etmesine izin verir. Örneğin AWS ve Azure kurallarında hizmet dışı bırakma (DoS) testleri yasaktır.
Test üretim ortamında mı yapılır?
Gerçekçi sonuç için genellikle üretim hesapları test edilir. Veri değiştirebilecek veya kesinti yaratabilecek adımlar yalnızca onayınızla atılır.
Bulut, Kubernetes ve Altyapı Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın