Kiểm tra thâm nhập AWS
Thử nghiệm thâm nhập AWS là gì?
Kiểm tra thâm nhập các phương pháp và chính sách khác nhau dựa trên tổ chức mà bạn đang tham gia. Một số tổ chức cho phép nhiều quyền tự do hơn trong khi những tổ chức khác có nhiều giao thức được tích hợp sẵn.
Khi bạn đang thực hiện pen test trong AWS, bạn phải làm việc theo các chính sách mà AWS cho phép bạn làm vì họ là chủ sở hữu của cơ sở hạ tầng.
Hầu hết những gì bạn có thể kiểm tra là cấu hình của bạn với nền tảng AWS cũng như mã ứng dụng bên trong môi trường của bạn.
Vì vậy… có lẽ bạn đang thắc mắc những thử nghiệm nào được phép thực hiện trong AWS.
Dịch vụ do người dùng vận hành
Mọi thử nghiệm bảo mật liên quan đến cấu hình đám mây do người dùng xây dựng đều được chấp nhận theo chính sách AWS. Thậm chí có thể chạy một số kiểu tấn công nhất định trên các phiên bản do bạn tạo.
Dịch vụ do nhà cung cấp vận hành
Bất kỳ dịch vụ đám mây nào do nhà cung cấp dịch vụ bên thứ ba cung cấp đều không được cấu hình và triển khai môi trường đám mây, tuy nhiên, cơ sở hạ tầng bên dưới nhà cung cấp bên thứ ba vẫn an toàn để kiểm tra.
Tôi được phép kiểm tra những gì trong AWS?
Dưới đây là danh sách những thứ bạn được phép thử nghiệm trong AWS:
- Các loại ngôn ngữ lập trình khác nhau
- Các ứng dụng được lưu trữ bởi tổ chức mà bạn thuộc về
- Giao diện lập trình ứng dụng (API)
- Hệ điều hành và máy ảo
Điều gì tôi không được phép Pentest trong AWS?
Dưới đây là danh sách một số nội dung không thể kiểm tra trên AWS:
- Các ứng dụng Saas thuộc về AWS
- Ứng dụng Saas của bên thứ ba
- Phần cứng vật lý, cơ sở hạ tầng hoặc bất kỳ thứ gì thuộc về AWS
- RDS
- Bất cứ thứ gì thuộc về nhà cung cấp khác
Tôi nên chuẩn bị như thế nào trước khi Pentesting?
Dưới đây là danh sách các bước mà bạn nên làm theo trước khi pentesting:
- Xác định phạm vi dự án bao gồm môi trường AWS và hệ thống mục tiêu của bạn
- Thiết lập loại báo cáo bạn sẽ đưa vào các phát hiện của mình
- Tạo các quy trình để nhóm của bạn tuân theo khi thực hiện pentesting
- Nếu bạn đang làm việc với khách hàng, hãy đảm bảo chuẩn bị lịch trình cho các giai đoạn thử nghiệm khác nhau
- Luôn nhận được sự chấp thuận bằng văn bản từ khách hàng hoặc cấp trên của bạn khi thực hiện pentesting. Điều này có thể bao gồm hợp đồng, biểu mẫu, phạm vi và thời hạn.
