Heutzutage werden Unternehmen wesentlich häufiger aufgrund eines einfachen menschlichen Fehlers gehackt als durch einen komplexen technischen Exploit. Das Problem: Herkömmliche Sicherheitstests wurden für klassische On-Premises-Server entwickelt und sind daher nicht darauf ausgelegt, cloud-spezifische Angriffswege zu erkennen, die häufig durch menschliche Entscheidungen entstehen. Hier kommt ein Penetrationstest ins Spiel: Ethische Hacker versuchen gezielt, genau diese Fehler in der Cloud-Konfiguration auszunutzen, um Schwachstellen in Ihrem System zu erkennen, bevor Angreifer sie ausnutzen können.
Wie unterscheiden sich Cloud-Penetrationstests von traditionellen Netzwerktests?
Traditionelle Netzwerktests untersuchen Schwachstellen in der Infrastruktur, die direkt von Ihrem Unternehmen kontrolliert wird, darunter:
- physische Server
- Router
- Firewalls
- interne Netzwerke
Dabei geht es hauptsächlich darum festzustellen, wie weit ein Angreifer die Perimeter-Sicherheitsmechanismen überwinden kann.
Cloud-Tests konzentrieren sich dagegen auf Benutzeridentitäten, die Konfiguration ihrer Berechtigungen sowie APIs, über die Cloud-Dienste miteinander kommunizieren. Statt zu prüfen, ob ein Angreifer den Netzwerkperimeter überwinden kann, untersucht ein Penetrationstest, ob die vergebenen Zugangsdaten zu weitreichenden Zugriff ermöglichen. Dazu gehört die Prüfung des Zugriffs auf:
- IAM-Richtlinien
- Cloud-Speicher
- serverlose Funktionen
- Container-Umgebungen
Warum ist es wichtig, die Cloud anders als ein traditionelles Netzwerk zu testen?
Weil Sie die Cloud nicht wie ein physisches Gebäude mit einem Wachmann am Eingang absichern können. In der Cloud bilden Benutzerkonten und Zugriffseinstellungen den neuen Sicherheitsperimeter. Für deren Schutz sind Sie selbst verantwortlich und nicht Ihr Cloud-Anbieter.
Ihr Cloud-Anbieter, beispielsweise Amazon, Microsoft oder Google, ist für die Sicherheit der physischen Rechenzentren verantwortlich. Sie müssen jedoch alles innerhalb Ihres Kontos schützen, einschliesslich Benutzerpasswörtern und Zugriffseinstellungen. In der Cloud kann ein gestohlenes Passwort oder eine zu weitreichende Benutzerberechtigung wesentlich gefährlicher sein als ein physisch exponierter Server, da sich Angreifer von überall über Code (APIs) oder Remote-Zugriffe anmelden können.
Was decken Cloud-Penetrationstests ab?
Ein Cloud-Penetrationstest ist ein auf Ihre Cloud-Umgebung zugeschnittener ethischer Hackerangriff. Dabei wird geprüft, ob ein Angreifer Ihre wichtigsten Daten stehlen oder den Betrieb Ihres Unternehmens lahmlegen könnte.
Ein ethischer Hacker untersucht Ihre Umgebung aktiv auf Schwachstellen, die ein Angreifer ausnutzen könnte, beispielsweise öffentlich zugänglichen Speicher oder Datenlecks über APIs. Zudem wird geprüft, ob Benutzer mit geringen Berechtigungen ihre Zugriffsrechte auf Administratorebene erweitern und anschliessend vertrauliche Daten stehlen oder kritische Dienste deaktivieren können. Der Test umfasst gezielt Cloud-Komponenten wie Container, serverlose Anwendungen und Identity Federation, also die Kommunikation zwischen Single-Sign-On-Konten, sowie weitere Bestandteile Ihrer Cloud-Umgebung.
Wie sicher ist Ihre Cloud-Umgebung?
CA kann dies herausfinden. Sprechen Sie mit unserem Team über Cloud-Penetrationstest-Services, die gezielt auf die Schwachstellen Ihrer individuellen Konfiguration ausgerichtet sind.
