CIS Benchmarks
Critères d’examen de la configuration de la plateforme cloud et des services concernés.
Tests d’intrusion
Tests d’intrusion cloud
Une évaluation de l’environnement cloud convenu, conforme aux politiques du fournisseur, associant une revue de configuration à une validation contrôlée, dans le respect des politiques de test de la plateforme.
Périmètre de l’évaluation
Éléments testés
La couverture définitive des tests est convenue lors de la définition du périmètre et se limite aux systèmes pour lesquels une autorisation écrite a été fournie.
Gestion des identités et des accès
Exposition publique et contrôles réseau dans le cloud
Autorisations de stockage et chemins d’accès aux données
Charge de travail et configuration du plan de gestion
Secrets et identités de service
Journalisation, surveillance et chemins d’élévation de privilèges
Déroulement de la mission
Un processus maîtrisé, de l’autorisation au test de vérification.
01
Périmètre et autorisation
Définissez les objectifs, les systèmes approuvés, les contraintes, les créneaux de test, les contacts et les règles d’engagement.
02
Découverte
Définissez la surface d’attaque autorisée, l’architecture, les rôles utilisateurs, les actifs et les critères d’évaluation applicables.
03
Tests maîtrisés
Évaluez le périmètre approuvé à l’aide de méthodes manuelles et techniques adaptées à l’environnement.
04
Validation
Confirmez les constats en toute sécurité, éliminez les faux positifs et établissez les impacts concrets sur les plans technique et métier.
05
Production de rapports
Recevez des constats étayés par des preuves, une évaluation des risques, une synthèse destinée à la direction et des priorités de remédiation.
06
Examen des mesures de remédiation
Examinez les actions correctives proposées et clarifiez les priorités de mise en œuvre avec l’équipe d’évaluation.
07
Nouveau test
Vérifiez les corrections convenues et consignez, pour chaque constat testé, si le problème a été résolu, atténué ou reste ouvert.
Références de l’évaluation
Normes et recommandations sectorielles
CIS Controls
Mise en contexte des mesures de protection relatives aux identités, aux actifs, à la configuration, à la journalisation et à la protection des données.
Politiques de test des fournisseurs
Règles et limitations publiées par le fournisseur de services cloud concerné.
NIST SP 800-115
Planification des évaluations techniques et rédaction des rapports.
Les normes guident la définition du périmètre et de la couverture des tests. Une évaluation ne constitue pas en elle-même une certification et ne garantit pas la conformité.
Production de rapports
Ce que vous recevez
Registre du périmètre et des limites du cloud
Constats relatifs à la configuration et chemins d’attaque validés
Analyse des identités et de l’exposition
Actions correctives hiérarchisées
Rapport de nouveau test
Définissez un périmètre de test adapté.
Discutez des systèmes, des objectifs, du niveau d’accès et des éléments probants requis avec DIGITPOL.