AWS-Penetrationstests
Was ist AWS-Penetrationstest?
Penetrationstests Methoden und Richtlinien unterscheiden sich je nach Organisation, in der Sie sich befinden. Einige Organisationen lassen mehr Freiheiten zu, während andere mehr Protokolle integriert haben.
Wenn Sie Pen-Tests durchführen AWS, müssen Sie innerhalb der Richtlinien arbeiten, die AWS Ihnen zulässt, da sie die Eigentümer der Infrastruktur sind.
Das meiste, was Sie testen können, ist Ihre Konfiguration für die AWS-Plattform sowie Anwendungscode in Ihrer Umgebung.
Sie fragen sich also wahrscheinlich, welche Tests in AWS durchgeführt werden dürfen.
Benutzerbetriebene Dienste
Alle Sicherheitstests, die vom Benutzer erstellte Cloud-Konfigurationen umfassen, sind gemäß der AWS-Richtlinie akzeptabel. Es ist sogar möglich, bestimmte Arten von Angriffen auf Instanzen Ihrer Kreation auszuführen.
Anbieterbetriebene Dienste
Jeder Cloud-Dienst, der von einem Drittanbieter bereitgestellt wird, ist für die Konfiguration und Implementierung der Cloud-Umgebung verschlossen, die Infrastruktur unter dem Drittanbieter kann jedoch sicher getestet werden.
Was darf ich in AWS testen?
Hier ist eine Liste der Dinge, die Sie in AWS testen dürfen:
- Verschiedene Arten von Programmiersprachen
- Anwendungen, die von der Organisation gehostet werden, der Sie angehören
- Anwendungsprogrammierschnittstellen (APIs)
- Betriebssysteme und virtuelle Maschinen
Was darf ich in AWS nicht pentesten?
Hier ist eine Liste einiger Dinge, die nicht auf AWS getestet werden können:
- SaaS-Anwendungen, die zu AWS gehören
- SaaS-Anwendungen von Drittanbietern
- Physische Hardware, Infrastruktur oder alles, was zu AWS gehört
- RDS
- Alles, was einem anderen Anbieter gehört
Wie sollte ich mich vor dem Pentest vorbereiten?
Hier ist eine Liste der Schritte, die Sie vor dem Pentest befolgen sollten:
- Definieren Sie den Projektumfang einschließlich der AWS-Umgebungen und Ihrer Zielsysteme
- Legen Sie fest, welche Art von Berichten Sie in Ihre Ergebnisse aufnehmen werden
- Erstellen Sie Prozesse, denen Ihr Team beim Durchführen von Pentesten folgen muss
- Wenn Sie mit einem Kunden zusammenarbeiten, stellen Sie sicher, dass Sie einen Zeitplan für die verschiedenen Testphasen erstellen
- Holen Sie sich immer eine schriftliche Genehmigung von Ihrem Kunden oder Vorgesetzten, wenn Sie Pentests durchführen. Dies kann Verträge, Formulare, Geltungsbereiche und Fristen umfassen.
