Kommen Sie Turbulenzen zuvor: Pentesting in der Cloud

Sicherheitsteams müssen sich auf die Perspektive von Angreifenden einlassen, um sicherzustellen, dass die Cybersicherheitsmassnahmen ihres Unternehmens angemessen sind. Stellen Sie sich vor, Sie wollen Ihr Haus vor Eindringlingen schützen. Die Standardmethode besteht darin sicherzustellen, dass alle Türen verschlossen sind. Um jedoch zu überprüfen, ob Ihr Haus wirklich geschützt ist, müssen Sie die Sicherheit wie ein:e Einbrecher:in testen: Versuchen Sie, die Schlösser zu knacken, klettern Sie durch die Fenster und suchen Sie nach Orten, an denen der Hausschlüssel «sicher» aufbewahrt werden könnte.

Penetrationstests dienen genau diesem Zweck. Sie geben Ihnen eine Vorstellung davon, was in Ihrer IT-Infrastruktur zum Angriffsziel werden könnte. Dieser Ansatz ist nicht neu. Da moderne Unternehmen jedoch zunehmend Cloud-Dienste nutzen, ist es notwendig, das Konzept herkömmlicher Penetrationstests auch auf die Cloud anzuwenden.

Cloud-Architekturen bestehen aus Ressourcen, Identitäten und Konfigurationen, die programmatisch definiert sind und sich schnell ändern. Folglich kann die Cloud die Komplexität der Cybersicherheit enorm erhöhen. Auch wenn die führenden Cloud-Service-Anbieter strenge Sicherheitspraktiken anwenden, sollten Sie sich nicht zu sehr darauf verlassen. Sie müssen für die Sicherheit ihrer Cloud-Assets gemäss dem Modell der gemeinsamen Verantwortung für die Cloud Sorge tragen. Deshalb ist das Pentesting in der Cloud genauso wichtig wie herkömmliche Netzwerk-Penetrationstests – in manchen Fällen sogar noch wichtiger.

Was Ihr Cloud-Pentest abdecken sollte

Je nach dem von Ihnen gewählten Modell für die Bereitstellung von Cloud-Diensten können die Grenzen Ihrer Verantwortung für die Sicherheit unterschiedlich sein. Der Cloud-Anbieter ist für die Sicherheit der Hardware und der zugrunde liegenden Software verantwortlich, die seine Dienste ermöglichen. Sie sind dafür verantwortlich, alles zu schützen, was Sie in der Cloud erstellen – Ihre Daten, Schlüssel, Assets, Dienste, Anwendungen und Konfigurationen. Um sich auf verschiedene Angriffsszenarien vorzubereiten, können Penetrationstests von verschiedenen Ausgangspunkten ausgehen:

• Black Box: Der Testende hat zunächst keinen Zugriff auf die Cloud-Umgebung.
• Gray Box: Der Testende hat als initialen Input die Anmeldeinformationen eines Mitarbeitenden oder einer Rolle, um die potenziellen Auswirkungen (den sogenannten Explosionsradius) aufzuzeigen, wenn eine Identität kompromittiert wird.

Unternehmen mit hybriden Cloud- und lokalen Netzwerken können nur dann ein vollständiges und genaues Verständnis der Risikoexposition erlangen, wenn sie in der Lage sind, Angriffspfade zu testen, die zwischen diesen Umgebungen verlaufen. Stellen Sie sich beispielsweise ein Angriffsszenario in einer hybriden Azure-Umgebung vor, in dem ein:e Hacker:in einen On-Premise-Computer kompromittiert und eine Remote-Code-Ausführung (RCE) durchführt, um die Anmeldedaten eines IT-Entwicklers mit Berechtigungen auf einer Azure-VM zu erlangen. Nun ist der Weg frei, um in die Cloud einzudringen. Dieser Prozess kann auf verschiedenen Rechnern wiederholt werden, bis ein Eindringling die höchsten Privilegien in der Umgebung erlangt und jede Ressource nach Belieben nutzen kann.

Penetrationstests in der Cloud bestehen aus fünf Bausteinen:

• Erkundung und Entdeckung
• Bewertung der Schwachstelle
• Eskalation von Privilegien
• Laterale Bewegung
• Datenerfassung und Exfiltration

Vor Beginn des Cloud-Pentestings sollten Sie sich ausreichend Zeit nehmen, um den Umfang Ihrer Cloud-Dienste und -Assets sowie die Teile der Angriffsfläche zu ermitteln, die Sie im Rahmen des Modells der geteilten Verantwortung schützen müssen. Auf dieser Grundlage können Sie fundierte Entscheidungen über Investitionen im Kontext der Risikoexposition Ihres Unternehmens treffen.

Wie bei allen Pentesting-Verfahren gilt auch hier: Die Qualität der Ergebnisse hängt nicht nur von der Tiefe und Breite der Tests ab, sondern auch von der Häufigkeit. So wie Cloud- und F&E-Teams ihre Cloud-Operationen und -Bereitstellungen automatisieren, müssen Sicherheitsteams ihre Cloud-Penetrationstests automatisieren und schliesslich den Kreislauf aus kontinuierlicher Integration und kontinuierlicher Bereitstellung durch kontinuierliche Validierung ergänzen.

Pentera Cloud ist das erste Softwareprodukt, das On-Demand-Sicherheitstests und Resilienzbewertungen von Cloud-Accounts von Unternehmen gegen Cloud-native Angriffe ermöglicht. Als Teil der automatisierten Sicherheitsvalidierungsplattform von Pentera versetzt Pentera Cloud Sicherheitsteams in die Lage, die Verwundbarkeit durch Cloud-native Angriffe zu reduzieren, unabhängig davon, wo sie stattfinden: vor Ort, extern oder in der Cloud.

Wir sind Ihre Pentest-Spezialist:innen in der Schweiz. Wir beantworten gerne Ihre Fragen, beraten Sie und stellen Ihre IT-Infrastruktur auf den Prüfstand.