AWS, Azure & GCP Assessments
การประเมินเฉพาะแพลตฟอร์มที่เจาะลึกถึงสถาปัตยกรรม IAM และการกำหนดค่าบริการของ AWS, Azure และ GCP
Cloud Platform หลักแต่ละรายมี Attack Model ของตนเอง AWS IAM, Azure AD / Entra และ GCP Workload Identity อาจดูคล้ายกันในระดับผิวเผิน แต่ตอบสนองต่อแรงกดดันจาก Hacker แตกต่างกันมาก การประเมินเฉพาะแพลตฟอร์มจึงผสาน Configuration Review เชิงลึกกับ Attack-Path Testing โดยใช้เทคนิคที่ที่ปรึกษาเฉพาะทางแพลตฟอร์มใช้งานจริง ไม่ใช่การทดสอบ Cloud แบบทั่วไป
โดยทั่วไปโครงการครอบคลุมหนึ่ง Tenant หรือ Account Family ต่อแพลตฟอร์ม เราทำงานจาก Credential ที่ได้รับการยืนยันตัวตนและจัดเตรียมสำหรับโครงการ จากนั้นทดสอบ Attack Chain ที่สมจริง เช่น IAM Privilege Escalation, Cross-Account Trust Abuse, Service Account Compromise, Container และ Serverless Escape Path และการนำข้อมูลออกไปยัง Storage ที่ Hacker ควบคุม
ในกรณีที่คุณใช้งานระบบมัลติคลาวด์ (Multi-cloud) การดำเนินงานของเราสามารถเชื่อมโยงแพลตฟอร์มต่าง ๆ เข้าด้วยกันได้ ซึ่งถือเป็นสิ่งสำคัญมาก เนื่องจากเหตุการณ์ระบบคลาวด์ถูกเจาะข้อมูลครั้งรุนแรงที่สุดเมื่อไม่นานมานี้ มักเกี่ยวข้องกับการที่ Hacker ลักลอบเคลื่อนย้ายข้ามแพลตฟอร์มหนึ่งไปยังอีกแพลตฟอร์มหนึ่ง
ความเสี่ยงที่ต้องพิจารณา
การทดสอบการตั้งค่าเพียงอย่างเดียวมองไม่เห็นเส้นทางการโจมตี
การรีวิวการตั้งค่าจะบอกว่าระบบตั้งค่าผิดตรงไหน ส่วนการทดสอบเส้นทางการโจมตีจะบอกว่า Hacker ทำอะไรกับความผิดพลาดเหล่านั้นได้บ้าง ซึ่งมักไปได้ไกลกว่าที่ Finding แต่ละรายการแยกกันจะบ่งชี้
แต่ละแพลตฟอร์มมีรูปแบบความล้มเหลวที่แตกต่างกันออกไป
Privilege Escalation ใน AWS มักผ่าน IAM Trust Path, Azure ผ่าน Entra และ Consent Grant ส่วน GCP ผ่าน Workload Identity และ Service Account Impersonation การทดสอบเฉพาะแพลตฟอร์มจึงสำคัญ
สิ่งที่เราทดสอบ
Platform review
วิเคราะห์การตั้งค่าเชิงลึกโดยสอดคล้องกับ CIS Benchmarks และ Security Baseline ที่ผู้ให้บริการเผยแพร่
- IAM and identity
- Service configuration
- Network segmentation
- สถานะความปลอดภัยของ Storage และ Database
- Logging and monitoring
- การจัดการ Key และการเข้ารหัส
Attack-path testing
ทดสอบเชิงรุกกับ Chain ที่ Hacker ใช้จริง รวมถึงเส้นทาง Cross-Account, Cross-Tenant และ Cross-Region
- Privilege escalation
- Lateral movement (where permitted)
- Data exfiltration paths
- ความเสี่ยงข้ามบัญชี / ข้าม Tenant
- Container Escape และ Serverless Escape
- การใช้ Trust ของ Pipeline / CI-CD ในทางที่ผิด
แนวทางการทำงานที่มีโครงสร้างชัดเจน ขับเคลื่อนด้วยข้อมูลเชิงลึกในทุกการทดสอบ
ทุกโครงการดำเนินตามแนวทางที่มีระเบียบวินัยเดียวกันผ่านแพลตฟอร์ม Velocity เพื่อให้คุณภาพ การติดตามตรวจสอบ และการรายงานมีมาตรฐานเดียวกันในทุกทีม
การกำหนดขอบเขต
กำหนดสินทรัพย์ สภาพแวดล้อม ข้อกำหนดในการทดสอบ และเกณฑ์การยอมรับร่วมกับผู้เกี่ยวข้องด้านเทคนิคและความปลอดภัย
การดำเนินการ
การทดสอบแบบ Manual และด้วยเครื่องมือโดยที่ปรึกษาที่ได้รับการรับรอง CREST พร้อมเก็บหลักฐานในทุกขั้นตอน
การตรวจสอบความถูกต้อง
ทุกการค้นพบจะถูกทำซ้ำ ประเมินระดับความเสี่ยงด้วย CVSS และยืนยันโดยที่ปรึกษาท่านที่สองก่อนรายงานผล
การรายงาน
รายงานที่ลงนามด้วยรหัส พร้อมการอ้างอิง Test Case การจัดระดับความรุนแรง ขั้นตอนการทำซ้ำ และแนวทางแก้ไข
สรุปผลและการทดสอบซ้ำ
การประชุมสรุปผลกับผู้เกี่ยวข้อง การช่วยจัดลำดับความสำคัญ และการทดสอบซ้ำหลังการแก้ไข
อ้างอิงมาตรฐานสากลที่ได้รับการยอมรับ
คำถามจากผู้สนใจใช้บริการ
เราจะนำช่องโหว่ที่ตรวจพบไปโจมตีระบบคลาวด์ที่ใช้งานจริง (Production) ของคุณหรือไม่? +
ภายใต้ Rules of Engagement ที่เป็นลายลักษณ์อักษร มีเกณฑ์การยกเลิกชัดเจน และบรีฟทีม White Team ล่วงหน้า เราจะทำเฉพาะกรณีที่การโจมตีจริงเป็นวิธีเดียวที่จะพิสูจน์ช่องโหว่ได้ แต่ถ้าประเมินความเสี่ยงได้จากการรีวิวเพียงอย่างเดียว เราจะไม่ทำ
เราจำเป็นต้องยื่นเอกสารแจ้งให้ผู้ให้บริการคลาวด์ทราบล่วงหน้าหรือไม่? +
สำหรับการทดสอบเชิงรุกส่วนใหญ่จำเป็นต้องแจ้ง โดยเราดำเนินการยื่นเอกสารแทนคุณในกรณีที่ต้องยื่น ผู้ให้บริการแต่ละรายมีนโยบายการทดสอบความปลอดภัยของลูกค้าเป็นของตนเอง และเราปฏิบัติตามข้อกำหนดเหล่านั้น
คุณสามารถทดสอบสภาพแวดล้อมแบบ Multi-Cloud และ Hybrid ได้หรือไม่? +
ได้ องค์กรขนาดใหญ่ในภูมิภาคส่วนใหญ่ใช้ Multi-Cloud แล้ว โดยมักเป็น AWS ร่วมกับ Azure และใช้ GCP สำหรับ Analytics โครงการ Multi-Cloud จะเพิ่มการทดสอบ Attack Path ข้ามแพลตฟอร์มเป็นขอบเขตโดยตั้งใจ
ทดสอบการป้องกันของท่านกับผู้เชี่ยวชาญด้านการรักษาความปลอดภัยเชิงรุก
ปรึกษาที่ปรึกษาที่ได้รับการรับรอง CREST เกี่ยวกับการทดสอบ Penetration Testing ครั้งถัดไปของท่าน