Tests d’intrusion article

Ce que comprend un test d’intrusion cloud

Un test d'intrusion cloud associe une revue de configuration à une validation technique contrôlée sur l'ensemble de l'environnement cloud autorisé. Les travaux respectent les politiques de test du fournisseur et l'autorisation écrite du client.

Vue d’ensemble de l’évaluation

Contenu de l’évaluation

Comptes cloud, abonnements, projets, services, identités et exclusions

Examen de l’exposition publique, des contrôles réseau, des autorisations de stockage et des charges de travail

Évaluation des identités, des rôles, des secrets et des chemins possibles d’élévation de privilèges

Observations sur la journalisation et la surveillance pertinentes pour l’activité validée

Éléments probants issus de l’environnement cloud, mesures correctives hiérarchisées et état des nouveaux tests

Couverture des tests

Éléments examinés

La couverture définitive dépend des systèmes, des accès, des objectifs, des exclusions et des exigences de sécurité convenus.

Gestion des identités et des accès

Exposition publique et contrôles réseau dans le cloud

Autorisations de stockage et chemins d’accès aux données

Charge de travail et configuration du plan de gestion

Secrets et identités de service

Journalisation, surveillance et chemins d’élévation de privilèges

Références sectorielles

Éléments guidant la couverture des tests

CIS Benchmarks

Critères d’examen de la configuration de la plateforme cloud et des services concernés.

CIS Controls

Mise en contexte des mesures de protection relatives aux identités, aux actifs, à la configuration, à la journalisation et à la protection des données.

Politiques de test des fournisseurs

Règles et limitations publiées par le fournisseur de services cloud concerné.

NIST SP 800-115

Planification des évaluations techniques et rédaction des rapports.

Ces référentiels orientent l’évaluation. Les tests ne constituent pas en eux-mêmes une certification et ne garantissent pas la conformité.

Rapport final

Contenu du rapport

Le rapport est conçu aussi bien pour les décideurs que pour les équipes chargées de la remédiation.

Registre du périmètre et des limites du cloud

Constats relatifs à la configuration et chemins d’attaque validés

Analyse des identités et de l’exposition

Actions correctives hiérarchisées

Rapport de nouveau test

Discuter du périmètre et du rapport requis.

DIGITPOL confirmera les cibles, les contraintes, les besoins en matière de preuves et les exigences relatives aux rapports avant les tests.

Demander une évaluation