Tests de pénétration AWS

Obtenir une démo

Qu'est-ce que la sécurité AWS?

La sécurité AWS est vraiment importante de nos jours, car de plus en plus d'entreprises choisissent l'infrastructure cloud, certaines pour des raisons d'optimisation des coûts de maintenance et de personnel, d'autres parce qu'elles estiment que le cloud est mieux protégé contre les attaques et sécurisé par défaut. En effet, les grands fournisseurs de cloud, tels qu'Amazon Web Services (AWS), peuvent se permettre de maintenir une équipe de professionnels de la cybersécurité, de mener leurs propres recherches, de réaliser des tests de pénétration réguliers du cloud et d'améliorer constamment le niveau de technologie.

Vous souhaitez avoir une compréhension approfondie de tous les aspects modernes des tests de pénétration AWS?
Lisez attentivement cet article et ajoutez-le à vos favoris pour y revenir plus tard, nous mettons régulièrement cette page à jour.

Les experts estiment que le modèle multi-cloud est le moyen le plus prometteur d’utiliser les services cloud dans l’entreprise. En tant que plus grande entreprise d’infrastructure cloud au monde, AWS propose plus de 165 services complets pour tous vos besoins. Sur la plateforme, vous pouvez créer votre propre infrastructure à partir de zéro ou utiliser des solutions prêtes à l’emploi et réduire vos coûts informatiques.

La plateforme propose des applications mobiles, web et professionnelles, ainsi que le traitement et le stockage des données, la sauvegarde et d'autres charges de travail. AWS lance de nouvelles régions plus rapidement que les autres fournisseurs et est l'hyperscaler le plus demandé au monde. Des entreprises de grande envergure comme Netflix, LinkedIn et Facebook choisissent les solutions AWS.

En tant que client AWS, vous bénéficierez de tous les avantages du hub de données et de l'architecture réseau conçus pour les entreprises soucieuses de la sécurité. La sécurité AWS suit les mêmes principes que votre propre centre de données, à la différence que vous n'avez pas à payer pour la maintenance des locaux et des équipements. Lorsque vous travaillez dans le cloud, il n'est pas nécessaire de contrôler les serveurs physiques ou les périphériques de stockage.

Vous pouvez également utiliser des outils de sécurité pour contrôler et défendre les flux de données entrants et sortants des ressources cloud. L’un des avantages du cloud AWS est sa capacité à évoluer et à apporter des innovations tout en maintenant un environnement hautement sécurisé et en ne payant que pour les services que vous utilisez. Cela signifie que le niveau de sécurité requis peut être atteint à un coût inférieur à celui d’un environnement sur site.

Le cloud AWS met en œuvre le shared responsibility model. Bien qu'AWS gère la sécurité du cloud, la responsabilité de celle-ci vous incombe. Cela signifie qu'il vous revient de déterminer le niveau de sécurité nécessaire pour protéger votre propre contenu, votre plateforme, vos applications, vos systèmes et vos réseaux dans le cloud.

Cependant, bien que la sécurité du cloud soit une priorité absolue pour AWS, elle ne protège pas contre les erreurs d'administration triviales, les paramètres de configuration incorrects ou par défaut des services cloud, les fuites de clés d'accès et d'identifiants, ainsi que les applications vulnérables. Comment identifier en temps utile les éventuelles erreurs de configuration dans une infrastructure Amazon Web Services (AWS)?

Comment fonctionne le test d'intrusion AWS?

De nombreuses pratiques IT ont émergé comme des adaptations d’approches remontant à l’ère industrielle. Par exemple, les fabricants de coffres-forts engageaient des «bugbears» pour repérer les failles de leurs serrures, et aujourd’hui, les entreprises font appel à des hackers pour identifier les vulnérabilités de leurs réseaux. C’est ainsi qu’est apparu tout un domaine: l’hacking éthique, lorsque les tests de pénétration sont réalisés par des spécialistes tiers.

Les hackers blancs mènent une série de tests de pénétration dans le cloud, simulant diverses attaques. Le résultat est un rapport contenant des informations détaillées sur les vulnérabilités détectées et des recommandations pour leur élimination.

Plus précisément, les tests de pénétration AWS révèlent le plus souvent des faiblesses AWS qui permettent aux attaquants d'accéder à des données confidentielles:

1. Compartiments AWS S3 - Erreurs de configuration des compartiments S3 ouverts.Amazon Simple Storage Service (S3) est un service qui vous permet de stocker et de recevoir des données de toute taille, à tout moment, depuis n'importe où sur le réseau. Sécurisé par défaut jusqu'à ce que l'administrateur ait activé l'accès public.
2. Erreurs de configuration des objets dans les buckets AWS S3.Les objets stockés dans des buckets S3 peuvent également être rendus publics, même si le bucket lui-même est fermé. Pour ce faire, il suffit de connaître l'URL S3 et les noms des objets associés. Les adresses S3 se trouvent souvent dans le code source des applications.
3. Compartiments AWS S3 - Erreurs de configuration d'injection de code.Le service S3 est également souvent utilisé pour héberger des applications web statiques, des pages HTML, des objets, du JavaScript, des images, des vidéos, etc. En cas de configuration incorrecte des droits d'accès, du code JavaScript malveillant peut être injecté dans une application web:
• Attaques XSS
• Beef Hooks
• Mineurs de cryptomonnaie JavaScript
• JavaScript Key logger
4. Compartiments AWS S3 - Erreurs de configuration de détournement de domaine S3. Le risque de détournement de domaine survient si l'application fait référence à des buckets S3 qui ont été supprimés et n'existent plus. Les sous-domaines sont également fréquents, avec un enregistrement DNS CNAME à jour pointant vers le bucket S3 supprimé. Pour capturer ces domaines et sous-domaines, il suffit de créer un nouveau bucket S3 avec le même nom et dans la même région AWS. Il est donc extrêmement important de prêter attention aux pages 404 sur * .s3.amazonaws.com lors du test par force brute des sous-domaines de l'organisation.
5. Recherche de compartiments AWS S3 vulnérables - S3 Buckets Recon.Recherchez et analysez manuellement les applications web, vérifiez les applications pour les requêtes:
• [bucketname].s3.amazonaws.com
• s3-[region].amazonaws.com / [target-name]
6. Recherchez les objets de contenu des buckets S3 fermés qui ont été précédemment ouverts et indexés par les moteurs de recherche à l’aide de Google dorks. Vous pouvez également utiliser l'index des archives du service WayBackMachine à cette fin: il s'agit d'un service en ligne gratuit permettant de trouver des bacs S3 et leur contenu.
7. Erreurs dans l'administration des conteneurs Docker sur AWS. Les conteneurs sont au cœur du DevOps moderne. Ils servent à créer, intégrer et exécuter des applications et des services au sein de l'infrastructure cloud. Une configuration incorrecte de l'API Docker Remote sur les ports TCP 2375 et 2376 d'une interface accessible publiquement peut entraîner la compromission de l'hôte. Selon les données Shodan de mai 2020, 739 hôtes sur 6 371 sont vulnérables et activement exploités pour le minage de cryptomonnaies. De plus, les attaquants utilisent activement le service DockerHub pour héberger des images de logiciels de minage.
8. Erreurs dans l'administration des clusters Kubernetes sur AWS - Conteneurs (Kubernetes).Une API de gestion Kubernetes accessible au public peut entraîner la divulgation d'informations sur la configuration du cluster. Une API Kubernetes etcd accessible au public peut divulguer des clés AWS, des certificats, des clés de chiffrement et d'autres informations sensibles provenant du référentiel etcd.
9. Vulnérabilités des applications Web sur AWS - Vulnérabilité SSRF. En mars 2019, les données personnelles et financières de plus de 100 millions de clients de la banque Capital One ont été compromises. Un attaquant a accédé au stockage AWS S3 en exploitant une vulnérabilité SSRF sur le site Web public de la banque. Le serveur Web vulnérable a permis d'envoyer une requête au service AWS Instance Meta Data Service afin d'obtenir des clés AWS permettant l'accès aux buckets de données S3 des clients de la banque. En décembre 2019, AWS a annoncé IMDSv2, protégée contre ce type d'attaques. Cependant, selon les statistiques d'avril 2020, moins de 5 % des clients utilisent IMDSv2.
10. L'inclusion de fichiers locaux (LFI) est la capacité de lire et d'exécuter des fichiers locaux côté serveur.La vulnérabilité permet d'accéder aux fichiers contenant les variables d'environnement des identifiants AWS sur un serveur Linux et sous Windows Symfony PHP Framework. En mode dev, elle permet d'accéder à un composant de débogage — un profileur web — qui expose des informations sensibles (routes, cookies, identifiants, fichiers, etc.).

Meilleures pratiques en matière de sécurité AWS

Des mesures incluant la confidentialité, l’intégrité et la disponibilité doivent être prises afin de minimiser les problèmes de sécurité dans le cloud. Les tests de sécurité AWS doivent être considérés comme un mécanisme clé utilisé pendant la phase de construction d’une infrastructure sécurisée. Les directives générales de sécurité sont les suivantes:

Conseil 1: Les applications cloud doivent garantir la sécurité des données et la confidentialité de manière rentable. La sécurité dans le cloud ne se limite pas aux composants des applications et inclut la sécurité au niveau du réseau et des données. De plus, n'oubliez pas les sauvegardes régulières et les options de récupération d'urgence.

Conseil 2: Il convient d'envisager la configuration de politiques de sécurité et l'application des meilleures pratiques mondiales dans ce domaine. Découvrez tous vos actifs à l'aide de ImmuniWeb Discovery. Un audit réussi vous permet de vérifier la sécurité de l'infrastructure cloud du fournisseur.

Conseil 3:L'interopérabilité entre les différents composants de l'infrastructure doit être maintenue afin de réduire potentiellement les tâches de test manuelles, de minimiser les surcoûts et de gagner du temps.

Plus précisément:

• N’utilisez jamais les clés du compte Root ;
• Utilisez l'authentification multifactorielle (MFA) pour la console Web et les clés d'accès AWS.
• Strong passwords or passphrases where MFA is impossible;
• Audit et monitoring des accès IAM à l'aide d'AWS IAM Access Analyzer ou de Security Monkey ;
• IAM Roles (identifiants temporaires) au lieu d'IAM Users ;
• Git-hooks pour surveiller et bloquer automatiquement les fuites de secrets ;
• Utilisez une rotation régulière des clés d'accès des utilisateurs AWS IAM, lorsqu'il est impossible d'utiliser les rôles IAM.
• Confiance zéro et principe du moindre privilège ;
• Sécurité des applications renforcée et Penetration Testing réguliers.

Pour minimiser les problèmes de sécurité dans le cloud, adhérez au modèle de test de pénétration AWS, qui consiste à identifier les faiblesses de l'infrastructure en effectuant des tests de pénétration continus.

Ressources supplémentaires

• En savoir plus sur la gestion des surfaces d'attaque basée sur l'IA avec ImmuniWeb^® Discovery
• En savoir plus sur les tests de pénétration des applications basés sur l'IA avec ImmuniWeb
• En savoir plus sur les opportunités du programme de partenariat ImmuniWeb
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp