Ujian Penembusan AWS
Apakah itu Ujian Penembusan AWS?
Ujian penembusan kaedah dan dasar berbeza berdasarkan organisasi tempat anda berada. Sesetengah organisasi membenarkan lebih banyak kebebasan manakala yang lain mempunyai lebih banyak protokol terbina dalam.
Apabila anda melakukan ujian pen dalam AWS, anda perlu bekerja mengikut dasar yang AWS benarkan anda kerana mereka adalah pemilik infrastruktur.
Kebanyakan perkara yang anda boleh uji ialah konfigurasi anda kepada platform AWS serta kod aplikasi dalam persekitaran anda.
Jadi… anda mungkin tertanya-tanya apakah ujian yang dibenarkan untuk dilakukan dalam AWS.
Perkhidmatan Dikendalikan Pengguna
Sebarang ujian keselamatan yang melibatkan konfigurasi awan yang dibina oleh pengguna boleh diterima di bawah dasar AWS. Malah mungkin untuk menjalankan jenis serangan tertentu pada kejadian ciptaan anda.
Perkhidmatan Pengendalian Penjual
Sebarang perkhidmatan awan yang disediakan oleh penyedia perkhidmatan pihak ketiga ditutup kepada konfigurasi dan pelaksanaan persekitaran awan, namun, infrastruktur di bawah vendor pihak ketiga selamat untuk diuji.
Apakah yang saya dibenarkan untuk menguji dalam AWS?
Berikut ialah senarai perkara yang anda dibenarkan untuk menguji dalam AWS:
- Pelbagai jenis bahasa pengaturcaraan
- Aplikasi yang dihoskan oleh organisasi yang anda miliki
- Antaramuka Pengaturcaraan Aplikasi (API)
- Sistem operasi dan mesin maya
Apakah yang Saya Tidak Dibenarkan Untuk Pentest dalam AWS?
Berikut ialah senarai beberapa perkara yang tidak boleh diuji pada AWS:
- Aplikasi Saas yang dimiliki oleh AWS
- Aplikasi Saas pihak ketiga
- Perkakasan fizikal, infrastruktur atau apa sahaja yang dimiliki oleh AWS
- RDS
- Apa-apa kepunyaan vendor lain
Bagaimana Saya Perlu Bersedia Sebelum Pentesting?
Berikut ialah senarai langkah yang perlu anda ikuti sebelum pentesting:
- Tentukan skop projek termasuk persekitaran AWS dan sistem sasaran anda
- Tetapkan jenis pelaporan yang akan anda sertakan dalam penemuan anda
- Buat proses untuk diikuti oleh pasukan anda semasa melakukan pentesting
- Jika anda bekerja dengan pelanggan, pastikan anda menyediakan garis masa untuk fasa ujian yang berbeza
- Sentiasa dapatkan kelulusan bertulis daripada pelanggan atau atasan anda semasa melakukan pentesting. Ini mungkin termasuk kontrak, borang, skop dan garis masa.
