网络安全知识：什么是云渗透测试？

什么是云渗透测试？

云渗透测试是通过模拟对云原生系统的受控网络攻击来检测和利用安全漏洞的过程，其中评估云基础设施的安全状况。通常，这种类型的渗透测试是在云服务的严格指导下执行的。 

云 VS 传统渗透测试

云是一个更新的概念，特别是云渗透测试。虽然云环境的安全测试与传统的渗透测试有很大不同，但基本原理仍然相同。然而，传统的渗透测试方法不是云原生的，它们专注于与本地环境更相关的流程。

就传统渗透测试而言，请求渗透测试的组织是整个技术基础设施的资产所有者。相反，在云环境的评估中，云服务提供商拥有可供客户使用的资产。 

在云环境中进行渗透设置的方法和工具也不同于传统的渗透测试设置。 

云渗透测试需要不同于标准渗透测试的独特且特定的专业知识。 

特定于云的渗透测试检查云系统、应用程序、数据库、存储访问、特定于云的配置的安全性，其中应用不同的规则和策略，这些规则和策略的设置方式也与传统的本地环境不同。 

此外，云渗透测试还受到云服务提供商强制执行的共享责任模型的影响，该模型规定，由于您正在使用其服务，因此正在配置的服务由自己负责。

云渗透测试的类型 

不同类型的云渗透测试或多或少使用与标准渗透测试相同的“招式”类型。 

• 黑盒——黑盒渗透测试 提供了一种攻击模拟，其中云渗透测试人员对基础设施的状况没有先验知识，只能像普通用户一样查看它。这就是进行模拟攻击的视角。渗透测试人员也无权访问您的云系统。

• 灰盒——在灰盒云渗透测试方法中，渗透测试人员对云基础设施的了解有限，对云系统的访问也有限，甚至有一些有限的管理权限。

• 白盒– 在白盒云渗透测试过程中，渗透测试人员几乎了解有关云系统的所有内容，并且他们通常在系统中被授予不同的角色，包括管理员或根级别访问权限。

什么时候需要进行云渗透测试？ 

如果您的基础设施位于云中并且您正在使用云服务提供商的服务，则强烈建议对您的环境进行渗透测试，并使云渗透测试成为您网络安全策略的一部分。 

正如共享责任模型中提到的，云提供商负责运行服务的基础设施，但是，有责任保护正在使用的服务。 云渗透测试不仅仅是自动扫描安全漏洞。 

它提供了不同的专业知识和方法来分析漏洞，从对手的角度评估您的环境，并识别可能阻止云环境以最佳性能运行的漏洞和安全问题。 

即使拥有成熟的网络安全计划，云渗透测试也会让您了解安全控制在防止网络攻击方面的有效性。

为什么云渗透测试很重要 

公司正在迅速从本地托管基础设施转向云托管基础设施即服务 (IaaS)。尽管云托管基础设施的核心是基于传统网络模型构建的，但这种转变（尤其是在安全意义上）并不那么简单。仅将基础设施迁移到云并不能保证安全性、冗余性或可靠性。 

最容易被忽视的云安全问题包括： 

• 具有过多权限的默认服务帐户。

• 暴露敏感数据（例如公共 S3 存储桶）的错误配置。

• 缺乏具备管理云应用程序和正确保护服务所需专业知识的人员。

• 缺乏对这些关系如何运作以及这些已配置的云资源之间的访问控制如何发挥作用的了解。

• 缺乏可见性。

• 缺乏建立可以防止或检测错误配置或薄弱或不正确配置的安全设置的安全策略。

• 公开暴露的云服务。 

忽视云服务的安全性会导致账户受损或漏洞被利用，这可能是服务提供商关闭账户的原因。

不应忽视的云漏洞 

在云安全方面可能出现并应特别注意的一些最大的云安全漏洞如下： 

• 不安全的 API

• 服务配置错误

• 凭证薄弱

• 过时的软件

• 不安全的身份和访问管理

• 不安全的编码实践

API 是两个或多个计算机程序相互通信的一种方式。它们主要用于云提供商提供的跨各种应用程序共享信息的服务。不安全的API可能导致敏感信息暴露和大规模数据泄露。不安全 API 的主要业务风险取决于其使用情况和与其关联的数据类型，以及检测和修复漏洞的速度。 

通常，最常见的漏洞是意外暴露 API 未保护的敏感信息。 

从安全角度来看，访问控制不当或缺乏输入清理也是 API 中最常见的问题之一。这都可以通过云渗透测试来检测。

服务配置错误 

除了不安全的 API 之外，云服务配置错误是最常发生的云漏洞之一。云配置错误是指在云采用过程中可能使您的环境面临风险的任何故障、差距或错误。最常见的错误配置服务是 AWS S3 存储桶，它通常会导致最大的数据泄露，因为敏感数据通常存储在其中。 

其他云安全配置错误包括：

• 入站端口不受限制。

• 出站端口不受限制。

• 禁用监控和日志记录。

• 打开 ICMP 端口。

• 不安全的自动备份。

• 对虚拟机的访问过于宽松。

• 容器和主机。

• 生产环境中的开发设置。

• 系统的默认凭据。

凭证薄弱 

使用弱密码、过于常见的密码或重复使用密码可能会使云帐户容易受到不同类型的密码猜测攻击。威胁攻击者可以使用自动化工具来尝试猜测凭据，这些凭据可能会向帐户提供进入向量。

过时的软件 

当我们谈论过时的软件漏洞时，我们通常谈论的是第三方软件。如果发现或披露了漏洞，软件发行商将修复问题并发布不易受攻击的软件的更新版本。在这种情况下，尽快安装更新版本至关重要。未修补的漏洞很容易被利用，并为您正在使用的云服务提供访问点。自动扫描器能够检测未修补的漏洞，威胁行为者往往会搜索这些漏洞，因为这是最简单的入口点。

这就是正确、快速地完成修补至关重要的原因。

不安全的身份和访问管理 

身份和访问管理，也称为 IAM，是几乎所有现代应用程序环境的核心组件。 

它提供了一种向用户和组分配角色和权限的系统方法，并在保护资源、减少安全漏洞和执行最小权限原则方面发挥着至关重要的作用。 

IAM 的不安全设置是云系统中的常见漏洞。 

当基础设施的用户或服务有权访问他们应该能够访问或不需要完成其工作的资源时，通常会发生这种情况。

不安全的编码实践

 应用程序层安全性比以往任何时候都更加重要，尤其是在云工作负载方面。 

注意安全编码实践可以防止在实施和使用应用程序时引入漏洞。 

不安全的编码实践中出现的漏洞有： 

• 硬编码凭证。

• 异常处理不当。

• 缺乏速率限制。

• 单层防御。

云渗透测试方法论 

云渗透测试方法论与传统渗透测试方法论和方法的主要区别之一是。 

这通常是云渗透测试方法的第一步，主要涉及了解云提供商的策略，而渗透测试人员处理本地环境时不需要这样做。 

云方法包括以下步骤： 

• 评估

• 范围界定

• 侦察

• 开发

• 报告

评估 

在此步骤中，渗透测试人员尝试了解云提供商策略和现有云 SLA。

范围界定 

在此阶段，渗透测试人员创建测试计划，就范围内的 IP 达成一致，有时还确定所使用的工具。 

目标是防止或限制对业务运营的任何干扰。这样做是为了避免渗透测试人员和客户之间的任何沟通不畅。

侦察采集 

这通常是渗透测试技术部分的开始。渗透测试人员收集尽可能多的有关目标环境的信息，以帮助他们完成利用阶段。 

此类信息包括现有角色、账户、ssh 密钥等。

开发利用 

在此阶段，渗透测试人员重点评估云环境： 

• 攻击力强。

• 安全监控覆盖范围

• 检测能力的功效。

报告 

从客户的角度来看，最重要的阶段是报告阶段。渗透测试人员收集从参与中发现的所有信息和漏洞、如何重现以及如何修复它们，然后将其写在专业报告中。

云渗透测试的挑战 

随着云技术的应用越来越广泛，确保云安全的挑战也在发生变化。 当然，大多数企业面临的最大挑战是了解资源的所有权。成为云服务消费者或只是将业务迁移到云上并不意味着所有安全问题现在都成为供应商的问题。根据您选择的云模型，安全责任通常在供应商和消费者之间分开。

例如，当涉及基础设施即服务 (IaaS) 时，消费者拥有更多控制权，因为它拥有正在测试的 IT 基础设施资源。 

因此，如果系统受到任何形式的影响，影响通常仅限于消费者拥有的系统。 

另一方面，当谈到软件即服务 (SaaS) 时，情况发生了变化。 

由于客户端在共享基础设施下运行，提供商可能会对渗透测试人员可以执行的测试活动施加严格限制。

以下是国外几个最知名的云平台服务商的简介：

亚马逊网络服务 (AWS) 

当谈到 AWS 云时，他们强加责任共担模型，要求他们负责保护运行 AWS 云中提供的所有服务的基础设施。 

另一方面，客户责任由客户选择作为其环境一部分的 AWS 云服务决定。

谷歌云提供商 (GCP) 

对于 GCP，适用与 AWS 类似的模型。 

他们负责基础设施安全、云，而客户则负责云上的任何内容以及他们可以配置的任何内容。

Azure 云服务

 Azure 的责任共担模型规定，客户端拥有其数据和身份，并且客户端应确保其数据和身份的安全。

原文始发于微信公众号（河南等级保护测评）：网络安全知识：什么是云渗透测试？