CIS Benchmarks
Criteria voor de configuratiebeoordeling van het betreffende cloudplatform en de bijbehorende diensten.
Penetratietesten
Cloudpenetratietests
Een beoordeling van de overeengekomen cloudomgeving conform het beleid van de provider, waarbij configuratiecontrole wordt gecombineerd met gecontroleerde validatie en het testbeleid van het platform wordt nageleefd.
Scope van de beoordeling
Wat wordt getest
De definitieve testdekking wordt overeengekomen bij het vaststellen van de scope en is beperkt tot systemen waarvoor schriftelijke toestemming is verleend.
Identiteits- en toegangsbeheer
Publieke blootstelling en beheersmaatregelen voor cloudnetwerken
Opslagmachtigingen en gegevenspaden
Workload en configuratie van de beheerlaag
Geheimen en service-identiteiten
Logging, monitoring en paden voor privilege-escalatie
Opdrachtverloop
Gecontroleerd van toestemming tot hertest.
01
Scope & autorisatie
Leg doelstellingen, goedgekeurde systemen, beperkingen, testvensters, contactpersonen en uitvoeringsafspraken vast.
02
Verkenning
Stel het aanvalsoppervlak waarvoor toestemming is verleend, de architectuur, gebruikersrollen, bedrijfsmiddelen en toepasselijke beoordelingscriteria vast.
03
Gecontroleerd testen
Beoordeel de goedgekeurde scope met handmatige en technische methoden die passen bij de omgeving.
04
Validatie
Bevestig bevindingen op veilige wijze, sluit foutpositieven uit en stel de daadwerkelijke technische en bedrijfsmatige impact vast.
05
Rapportage
Ontvang bevindingen onderbouwd met bewijs, risicobeoordelingen, een managementsamenvatting en herstelprioriteiten.
06
Beoordeling van herstelmaatregelen
Bespreek voorgestelde corrigerende maatregelen en verduidelijk de implementatieprioriteiten met het beoordelingsteam.
07
Hertest
Verifieer overeengekomen herstelmaatregelen en leg voor elke geteste bevinding vast of deze is opgelost, verminderd of nog openstaat.
Referenties voor de beoordeling
Sectornormen en richtlijnen
CIS Controls
Context voor beveiligingsmaatregelen voor identiteit, bedrijfsmiddelen, configuratie, logging en gegevensbescherming.
Testbeleid van de aanbieder
Regels en beperkingen die door de betreffende cloudserviceprovider zijn gepubliceerd.
NIST SP 800-115
Planning en rapportage van technische beoordelingen.
Normen vormen de leidraad voor de scope en testdekking. Een beoordeling vormt op zichzelf geen certificering en garandeert geen naleving.
Rapportage
Wat u ontvangt
Vastlegging van de cloudscope en grenzen
Configuratiebevindingen en gevalideerde aanvalspaden
Analyse van identiteiten en blootstelling aan dreigingen
Geprioriteerde corrigerende maatregelen
Hertestrapport
Bepaal een passende testscope.
Bespreek de systemen, doelstellingen, het toegangsniveau en het vereiste bewijsmateriaal met DIGITPOL.