Sicurezza cloud
Penetration test per ambienti cloud e infrastrutture as code
Nel cloud le violazioni nascono quasi sempre da una configurazione, non da un exploit. Un penetration test sull'ambiente segue i percorsi reali: un ruolo con permessi eccessivi, un bucket accessibile, un segreto dimenticato in una pipeline.
Test manuale su ambienti reali. Pagamento solo a lavoro approvato.
Copertura
Dove si concentrano i rischi cloud
Identità e permessi
Policy IAM eccessivamente ampie, ruoli assumibili da entità inattese, percorsi di escalation dei privilegi verso l'account amministrativo.
Storage ed esposizione dati
Bucket S3, Blob Storage e Cloud Storage accessibili pubblicamente o a interi domini, snapshot e backup senza controllo di accesso.
Container e Kubernetes
Configurazione dei cluster, RBAC, pod privilegiati, segreti montati come volumi e possibilità di uscita dal container verso il nodo.
Rete e segmentazione
Security group permissivi, servizi di gestione esposti, peering fra ambienti e assenza di separazione fra produzione e sviluppo.
Pipeline CI/CD
Segreti nei runner, dipendenze non verificate, permessi di deploy troppo ampi e possibilità di alterare gli artefatti rilasciati.
Applicazioni multi-tenant
Isolamento fra clienti diversi: chiavi di cifratura, separazione dei dati e controlli che impediscono a un tenant di raggiungere un altro.
Svolgimento
Dal censimento al percorso di attacco
- 01
Censimento dell'ambiente
Mappiamo account, sottoscrizioni, progetti, regioni e servizi effettivamente in uso, comprese le risorse dimenticate dai team.
- 02
Revisione della configurazione
Confronto con i benchmark di sicurezza del provider e con le pratiche consigliate, con verifica manuale di ogni scostamento rilevante.
- 03
Simulazione di compromissione
Partiamo da un'identità a basso privilegio, come farebbe un attaccante dopo un phishing riuscito, e verifichiamo fin dove riesce ad arrivare.
- 04
Percorsi verso i dati
Ricostruiamo le catene che portano dai punti di ingresso ai dati sensibili, indicando dove interrompere ciascuna catena con il minor impatto operativo.
- 05
Report e retest
Consegna con priorità di intervento, indicazioni applicabili all'infrastruttura as code e riverifica illimitata dopo le correzioni.
Riferimenti normativi
Cloud e conformità nel contesto italiano
Qualificazione dei servizi cloud per la PA
I fornitori che erogano servizi cloud alla Pubblica Amministrazione devono dimostrare requisiti di sicurezza verificabili nell'ambito del processo gestito dall'ACN. Un penetration test indipendente sull'ambiente è l'evidenza tecnica più immediata da produrre in fase istruttoria.
NIS2 e catena di fornitura
Il D.Lgs. 138/2024 estende la responsabilità alla sicurezza dei fornitori ICT. Se ospita servizi per un soggetto essenziale o importante, il Suo ambiente cloud entra nel perimetro di valutazione del cliente e nei suoi obblighi contrattuali.
GDPR e localizzazione dei dati
Oltre alla base giuridica dei trasferimenti, conta dove i dati risiedono davvero: repliche, backup e log finiscono spesso in regioni non previste. Il censimento evidenzia questi casi, che sono fra i rilievi più frequenti in sede di ispezione.
ISO/IEC 27001 e 27017
Il report mappa le vulnerabilità sui controlli relativi ai servizi cloud e alla separazione degli ambienti, in una forma direttamente utilizzabile dall'ente di certificazione durante l'audit di sorveglianza.
Domande frequenti
Penetration test cloud: dubbi ricorrenti
Servizi collegati
Scopra fin dove arriva un attaccante nel Suo ambiente cloud
Ci descriva account, provider e servizi in uso: le proponiamo perimetro, tempi e prezzo a corpo.
Richieda un preventivo