Tests d'intrusion AWS
Qu'est-ce que les tests d'intrusion AWS ?
Tests de pénétration les méthodes et les politiques diffèrent en fonction de l'organisation dans laquelle vous vous trouvez. Certaines organisations autorisent plus de libertés tandis que d'autres intègrent davantage de protocoles.
Lorsque vous effectuez des tests d'intrusion dans AWS, vous devez respecter les politiques autorisées par AWS, car ils sont les propriétaires de l'infrastructure.
La plupart de ce que vous pouvez tester est votre configuration sur la plate-forme AWS ainsi que le code d'application dans votre environnement.
Alors… vous vous demandez probablement quels tests peuvent être effectués dans AWS.
Services gérés par l'utilisateur
Tout test de sécurité impliquant des configurations cloud créées par l'utilisateur est acceptable dans le cadre de la politique AWS. Il est même possible d'exécuter certains types d'attaques sur des instances de votre création.
Services exploités par le fournisseur
Tout service cloud fourni par un fournisseur de services tiers est fermé à la configuration et à la mise en œuvre de l'environnement cloud, cependant, l'infrastructure sous le fournisseur tiers peut être testée en toute sécurité.
Que suis-je autorisé à tester dans AWS ?
Voici une liste de choses que vous êtes autorisé à tester dans AWS :
- Différents types de langages de programmation
- Applications hébergées par l'organisation à laquelle vous appartenez
- Interfaces de programmation d'application (API)
- Systèmes d'exploitation et machines virtuelles
Qu'est-ce que je n'ai pas le droit de tester dans AWS ?
Voici une liste de certains éléments qui ne peuvent pas être testés sur AWS :
- Applications Saas appartenant à AWS
- Applications Saas tierces
- Matériel physique, infrastructure ou tout ce qui appartient à AWS
- RDS
- Tout ce qui appartient à un autre fournisseur
Comment dois-je me préparer avant le pentesting ?
Voici une liste d'étapes que vous devez suivre avant le pentesting :
- Définir la portée du projet, y compris les environnements AWS et vos systèmes cibles
- Établissez le type de rapport que vous inclurez dans vos constatations
- Créez des processus que votre équipe doit suivre lors du pentesting
- Si vous travaillez avec un client, assurez-vous de préparer un calendrier pour les différentes phases de test
- Obtenez toujours l'approbation écrite de votre client ou de vos supérieurs lorsque vous faites du pentesting. Cela peut inclure des contrats, des formulaires, des portées et des délais.
