AWS penetračné testovanie
Čo je penetračné testovanie AWS?
Penetračné testovanie metódy a zásady sa líšia v závislosti od organizácie, v ktorej sa nachádzate. Niektoré organizácie povoľujú viac slobôd, zatiaľ čo iné majú zabudovaných viac protokolov.
Keď robíte testovanie perom v AWS, musíte pracovať v rámci politík, ktoré vám AWS umožňuje, pretože sú vlastníkmi infraštruktúry.
Väčšina z toho, čo môžete otestovať, je vaša konfigurácia na platforme AWS, ako aj kód aplikácie vo vašom prostredí.
Takže... pravdepodobne sa pýtate, aké testy je povolené vykonávať v AWS.
Služby ovládané používateľom
Akékoľvek testovanie zabezpečenia, ktoré zahŕňa cloudové konfigurácie vytvorené používateľom, je prijateľné podľa pravidiel AWS. Je dokonca možné spustiť určité typy útokov na inštancie vášho výtvoru.
Služby prevádzkované predajcom
Akákoľvek cloudová služba, ktorú poskytuje poskytovateľ služieb tretej strany, je uzavretá pre konfiguráciu a implementáciu cloudového prostredia, avšak infraštruktúru pod dodávateľom tretej strany je možné bezpečne otestovať.
Čo môžem testovať v AWS?
Tu je zoznam vecí, ktoré môžete testovať v AWS:
- Rôzne typy programovacích jazykov
- Aplikácie, ktoré sú hosťované organizáciou, do ktorej patríte
- Aplikačné programové rozhrania (API)
- operačné systémy a virtuálne stroje
Čo v AWS nesmiem testovať?
Tu je zoznam niektorých vecí, ktoré nie je možné testovať na AWS:
- Saas aplikácie, ktoré patria AWS
- Aplikácie Saas tretích strán
- Fyzický hardvér, infraštruktúra alebo čokoľvek, čo patrí do AWS
- RDS
- Čokoľvek, čo patrí inému predajcovi
Ako sa mám pripraviť pred letnicou?
Tu je zoznam krokov, ktoré by ste mali vykonať pred testovaním:
- Definujte rozsah projektu vrátane prostredí AWS a cieľových systémov
- Stanovte si, aký typ podávania správ zahrniete do svojich zistení
- Vytvorte procesy, ktoré bude váš tím pri testovaní dodržiavať
- Ak pracujete s klientom, nezabudnite si pripraviť časový plán pre rôzne fázy testovania
- Pri vykonávaní pentestingu vždy získajte písomný súhlas od svojho klienta alebo nadriadených. To môže zahŕňať zmluvy, formuláre, rozsahy a časové harmonogramy.
