تست نفوذ کلود | SANS SEC588: Cloud Penetration Testing

از شما خواسته شده است که یک ارزیابی تست نفوذ تیم قرمز انجام دهید. دارایی ها عمدتاً در فضای ابری قرار دارند. اگر مجبور باشید بارهای کاری Azure Active Directory، Amazon Web Services (AWS)، عملکردهای بدون سرور یا Kubernetes را ارزیابی کنید، چه؟ در این دوره، آخرین تکنیک های تست نفوذ متمرکز بر ابر و نحوه ارزیابی محیط های ابری را خواهید آموخت.

بارهای کاری محاسباتی سال هاست که به سمت ابر حرکت می کند. تحلیلگران پیش‌بینی می‌کنند که اکثر شرکت‌ها، اگر نه همه، به زودی بار کاری در محیط‌های ابری عمومی و دیگر خواهند داشت. در حالی که سازمان‌هایی که در محیط اول ابری شروع به کار می‌کنند ممکن است در نهایت به یک راه‌حل ترکیبی ابری و مرکز داده محلی بروند، استفاده از ابر کاهش قابل توجهی نخواهد داشت. بنابراین هنگام ارزیابی ریسک‌های سازمان‌ها در آینده، باید برای ارزیابی امنیت سرویس‌های ارائه‌شده توسط ابر آماده باشیم.

متداول ترین سؤالاتی که در مورد امنیت ابر پرسیده می شود این است که “آیا برای تست نفوذ ویژه ابر به آموزش نیاز دارم؟” و “آیا می توانم با سایر آموزش های تست قلم به اهدافم برسم و آن را در فضای ابری اعمال کنم؟” پاسخ به هر دو سوال مثبت است، اما برای درک دلیل آن، باید به اهمیت صریح انجام آزمایش نفوذ متمرکز بر ابر بپردازیم. در محیط‌های ارائه‌دهنده خدمات ابری، آزمایش‌کنندگان نفوذ با طراحی سنتی مرکز داده مواجه نمی‌شوند. به طور خاص، آنچه ما به آن تکیه می کنیم تا در یک محیط رسمی درست باشد، مانند اینکه چه کسی مالک سیستم عامل و زیرساخت است، و اینکه برنامه ها چگونه اجرا می شوند، احتمالاً بسیار متفاوت خواهد بود. برنامه ها، خدمات و داده ها در یک محیط میزبانی مشترک منحصر به فرد برای هر ارائه دهنده ابر میزبانی می شوند.

SEC588: تست نفوذ ابر از مجموعه مهارت‌های زیادی که برای ارزیابی مناسب یک محیط ابری لازم است، استخراج می‌شود. اگر شما یک آزمایش کننده نفوذ هستید، این دوره راهی برای درک نحوه استفاده از مهارت های خود در محیط های ابری ارائه می دهد. اگر یک مدافع یا معمار متمرکز بر امنیت ابری هستید، دوره آموزشی به شما نشان می دهد که چگونه مهاجمان از زیرساخت ابری برای به دست آوردن جای پایی در محیط های شما سوء استفاده می کنند.

این دوره به موضوعات ماشین‌های مجازی ابری کلاسیک، سطل‌ها و سایر مسائل جدید می‌پردازد که در میکروسرویس‌های ابر مانند، ذخیره‌سازی داده‌های درون حافظه، فایل‌های موجود در ابر، عملکردهای بدون سرور، مش‌های Kubernetes و کانتینرها ظاهر می‌شوند. این دوره همچنین تست نفوذ Azure و AWS را پوشش می‌دهد که با توجه به اینکه AWS و مایکروسافت بیش از نیمی از بازار را در اختیار دارند، بسیار مهم است. هدف نشان دادن این فناوری ها نیست، بلکه آموزش نحوه ارزیابی و گزارش ریسک واقعی است که سازمان ممکن است در صورت ناامن ماندن این خدمات با آن مواجه شود.