Bulut Güvenlik Testi (AWS, Azure, GCP)

Bulutta altyapının güvenliği sağlayıcının, yapılandırmanın güvenliği ise sizin sorumluluğunuzdadır (paylaşılan sorumluluk modeli). İhlallerin önemli bir kısmı platform açıklarından değil, herkese açık bırakılmış depolama alanları ve aşırı geniş yetkiler gibi yapılandırma hatalarından doğar.

• Kimlik ve erişim yönetimi (IAM): Aşırı yetkili roller, yetki yükseltme yolları, eski erişim anahtarları.
• Depolama: Herkese açık ya da yanlış izinli depolama alanları ve yedekler.
• Ağ: Güvenlik grupları, dışa açık yönetim portları, segmentasyon.
• Hesaplama ve konteyner: Sanal makine, Kubernetes ve sunucusuz (serverless) fonksiyon yapılandırmaları.
• Gizli bilgi yönetimi: Kodda veya ortam değişkenlerinde bırakılmış anahtar ve parolalar.
• Kayıt ve izleme: Denetim kayıtlarının açık olup olmadığı ve saldırı adımlarının görünürlüğü.

Testleri, bulut sağlayıcıların sızma testi kurallarına uygun şekilde ve yazılı yetkilendirmeyle yürütürüz.

1. Kapsam: Hesaplar, abonelikler, bölgeler ve test edilecek servisler belirlenir.
2. Yapılandırma incelemesi: Salt okunur bir hesapla yapılandırmalar güvenlik en iyi uygulamalarına göre değerlendirilir.
3. Saldırı yolu analizi: Ele geçirilmiş bir kimlik veya dışa açık bir servisten başlayarak ilerleme senaryoları denenir.
4. Raporlama ve doğrulama testi: Bulgular CVSS ile puanlanır, düzeltmelerden sonra yeniden test edilir.

İş yüklerini buluta taşıyan, çoklu bulut ya da hibrit mimari kullanan ve bulutta kişisel veya finansal veri işleyen kurumlar için uygundur.

• Yönetici özeti ve bulut risk tablosu.
• Kanıtlı, CVSS puanlı teknik bulgular.
• Gösterilmiş saldırı yolları: Başlangıç noktasından kritik kaynağa giden adımlar.
• Platforma özel, önceliklendirilmiş yapılandırma düzeltmeleri.
• Doğrulama testi raporu.