Pentest der AWS-Konfiguration

Eines der stärksten Merkmale von AWS ist die immense Flexibilität, die dem Nutzer bei der Einrichtung der Umgebung geboten wird. Diese Flexibilität ist großartig, stellt aber auch ein großes Sicherheitsproblem dar, dass mit Pentests überprüft wird.

Definition und Erklärung - IT-Sicherheitsanalyse

Was ist AWS-Penetration-Testing?

Amazon Web Services, kurz AWS, Penetration Testing bietet Ihrer Organisation eine IT-Sicherheitsanalyse über die Wirksamkeit der AWS-Konfiguration. Hier wird die AWS-Architektur und dessen leistungsstarke APIs mit den Methoden eines echten Angreifers analysiert. Tief in das AWS-Ökosystem integriert, testen unsere Security Engineers auf eine Reihe von AWS-spezifischen Fehlkonfigurationen, Berechtigungen und Implementierungsfehler.

Moderne Cyber Security

AWS Cloud Security

Als Basis für sichere Anwendungen und Kommunikation darf die Cloud-Infrastruktur nicht vernachlässigt werden. Fortgeschrittene Kenntnisse im Bereich der Server-Betriebssysteme, Transportverschlüsselungen und Infrastruktur-Konfiguration ermöglichen es unseren Security Engineers, die AWS-Konfigurationen effizient zu analysieren.

Pentesting in der Cloud

Penetrationstest für AWS-Konfigurationen

Der Penetrationstest für AWS-Konfigurationen wird von unseren speziell ausgebildeten Security Engineers nach anerkannten Standards geplant, durchgeführt und ausgewertet.

Erfüllung von Sicherheitsstandards und Richtlinien: Wir testen grundsätzlich alle Arten von Virtualisierungs-Umgebungen, wie Server- und Betriebssystem-Virtualisierungen, Anwendungsvirtualisierungen und Netzwerkvirtualisierungen.
AWS-Komponenten: Wir testen IAM Permissions auf ausnutzbare Fehlkonfigurationen, die Zugriffsschlüssel für EC2-Benutzerkonten, AWS-Privilegien auf IAM-Fehlkonfigurationen, Lambda-Funktionen und das Umgehen von CloudTrail.
Cloud Native Pentesting: Wir haben einen umfangreichen Abschlussbericht entwickelt, der optimalen Einblick in unsere Arbeit und dessen Ergebnisse ermöglicht. Audits werden von uns nach u. a. nach dem OWASP Cloud Security Guide durchgeführt und auch dementsprechend ausgewertet. Eine Ausrichtung an OSSTMM und PCIDSS ist auf Wunsch auch möglich.

Erfahren Sie mehr über die Durchführung von Cloud Penetration Tests mit turingpoint!

Mehr Informationen

AWS-Komponenten und Cloud Security

Umfang der Cloud Security von Amazon-Webdiensten

Grundsätzlich gilt, je länger unsere Cloud Security Engineers Ihre Konfiguration untersuchen, desto aussagekräftiger sind die Ergebnisse. Sollten Sie spezielle Ansprüche haben, machen wir Ihnen gerne ein individuelles Angebot.

IAM: Das Ziel dieser Kategorie ist eine Analyse von Berechtigungen für Privilegien-Eskalationspfade, durch Dienste wie Lambda, EC2 usw., und die Prüfung auf falsch konfigurierte Rollen und Zugriffsversuche.
EC2/VPC: Der Zweck dieser Kategorie ist die Aufzählung von Instanzen, Sicherheitsgruppen und AMIs zur Durchführung von EC2-Angriffen. Zusätzlich wird der Missbrauch des Simple Systems Manager für den Fernzugriff auf Instanzen getestet und eine Analyse von EC2-Benutzerdaten auf System-Berechtigungsnachweise erstellt.
S3: Diese Kategorie behandelt die Prüfung auf falsch konfigurierte Buckets durch nicht authentifizierte Zugriffe. Nach der Authentifizierung kann der Zugriff auf S3-Buckets für sensible Dateien und Daten geprüft werden und die Nutzung vorhandener S3-Buckets zur Exfiltration von Daten oder zur Durchführung weiterer Angriffe.
RDS: Das Ziel dieser Kategorie ist, sicherzustellen, das die Regeln der Sicherheitsgruppe für den Zugriff auf RDS-Datenbanken nicht umgangen werden können. Zusätzlich wird die RDS-Authentifizierung durch Kopieren von Backups und Änderung des RDS-Passworts überprüft. Zuletzt wird kontrolliert, ob eine Exfiltration von RDS-Daten durch den kontenübergreifenden C2-Kanal möglich ist.
Cloudtrail: Die Anforderungen aus dieser Kategorie sollen sicherstellen, dass verschiedene Methoden, um der Entdeckung zu entgehen und Spuren zu verwischen, erkannt werden. Zusätzlich werden Protokolle analysiert, um eine bessere Vorstellung von dem AWS-Ökosystem zu erhalten.
Lambda: Das Ziel dieser Kategorie ist, sicherzustellen, dass der Code und die Konfiguration keine sensiblen Informationen enthalten. Darüber hinaus wird eine Privilegien-Erweiterung durch Lambda-IAM-Rollen und SDK's getestet. Abschließend wird eine Datenexfiltration durch die Modifikation von Datenverarbeitungsfunktionen simuliert.