Hızlı cevap: Bulut sızma testi, bir kurumun AWS, Azure veya Google Cloud üzerindeki yapılandırmasını, kimlik ve erişim yönetimini ve açık yüzeyini bir saldırgan gözüyle inceleyen güvenlik hizmetidir. Bulutta en sık görülen açık bir yazılım hatası değil, yanlış yapılandırmadır: herkese açık depolama kovaları, aşırı geniş erişim rolleri ve ifşa olmuş gizli anahtarlar. Bulut sağlayıcısı altyapıyı korur, ama yapılandırmanın güvenliği müşteriye aittir; buna paylaşılan sorumluluk modeli denir. DSET bu testi yerel yapay zekâ motoru KAOS ile yürütür ve her bulguyu çalışan bir kanıtla doğrular.

Bulut, altyapıyı hızlandırır ama güvenlik sorumluluğunu ortadan kaldırmaz, yalnızca yerini değiştirir. Çoğu bulut ihlali bir sıfır gün açığından değil, bir yanlış yapılandırmadan kaynaklanır. Bulut sızma testi, bu yapılandırma yüzeyini kanıtlanabilir biçimde inceleyen bir hizmettir. Bu yazı, bulut sızma testinin ne olduğunu, paylaşılan sorumluluk modelini ve DSET ile KAOS yaklaşımını anlatır.

Bulut sızma testi nedir

Bulut sızma testi, bir kurumun bulut ortamını üç eksende inceler: dışarıdan erişilebilen yüzey, kimlik ve erişim yönetimi yapılandırması ve bulut kaynaklarının birbirine güven ilişkisi. Amaç, bir saldırganın tek bir ifşa olmuş anahtarla veya yanlış yapılandırılmış bir rolle ne kadar ilerleyebileceğini kanıtlamaktır. Bu, geleneksel ağ sızma testinden farklıdır; çünkü buluttaki asıl sınır bir güvenlik duvarı değil, kimlik ve erişim politikalarıdır. Testin bir açık tarama aracından farkı için zafiyet taraması ve sızma testi farkı başvuru noktasıdır.

Paylaşılan sorumluluk modeli

Bulutta sorumluluk sağlayıcı ile müşteri arasında bölünür. Sağlayıcı fiziksel altyapıyı ve donanımı korur, müşteri ise verinin, yapılandırmanın ve erişim yönetiminin güvenliğinden sorumludur. En sık yapılan hata, bu sınırın yanlış anlaşılmasıdır.

Katman Sorumlu Tipik açık
Fiziksel donanım ve veri merkezi Bulut sağlayıcısı Kurumu doğrudan ilgilendirmez
Depolama kovası izinleri Müşteri Herkese açık kova, veri sızıntısı
Kimlik ve erişim rolleri Müşteri Aşırı geniş yetki, yetki yükseltme
Gizli anahtar ve token yönetimi Müşteri İfşa anahtar, hesap ele geçirme
Ağ ve güvenlik grupları Müşteri Açık yönetim portu, yanal hareket

Tablonun özü şudur: buluttaki açıkların büyük çoğunluğu müşterinin yapılandırma alanındadır. Bu açıkların çerçevesi için güvenlik yanlış yapılandırması kaynağı okunmalıdır.

Bulut sızma testi ne zaman yapılır

Yeni bir bulut ortamı kurulduktan sonra, büyük bir mimari değişiklikte ve düzenli aralıklarla yapılması doğru olandır. Bulut yüzeyi sürekli değiştiği için, tek seferlik bir test zamanla eskir; bu yüzden bulut, sürekli sızma testi PTaaS modeli ile birlikte en iyi sonucu verir. Sürekli değişen dış yüzeyin izlenmesi ise dış saldırı yüzeyi yönetimi hizmeti kapsamındadır.

KAOS ve DSET yaklaşımı

DSET, bulut sızma testini yerel yapay zekâ motoru KAOS ile yürütür. KAOS, bulut yapılandırmasını ve dış yüzeyi hızla haritalar, aşırı geniş erişim rollerini ve açık yüzeyleri tespit eder ve bir ilerleme yolu bulduğunda bunu çalışan bir kanıtla gösterir. Fark şudur: KAOS, veri değiştiren veya silen hiçbir işlemi ayrı ve açık bir onay olmadan çalıştırmaz; yetki sınırları sözleşmeyle çizilir ve yalnızca okuma ve kanıtlama düzeyinde kalır. Her bulgu, kanıt temelli doğrulama ilkesiyle raporlanır ve bulgular CVSS ile önceliklendirilir. Aynı disiplin API sızma testi hizmetimizde de geçerlidir.

Sık sorulan sorular

Bulut sağlayıcısından izin almam gerekir mi? Büyük bulut sağlayıcıları, müşterinin kendi kaynaklarına yönelik sızma testine genelde önceden izin gerektirmeden olanak tanır, ama servis dışı bırakma denemeleri ve bazı yüksek etkili testler için kuralları vardır. Doğru yaklaşım, test kapsamını belirlerken sağlayıcının güncel sızma testi politikasını okumak ve paylaşımlı kaynakları kapsam dışında tutmaktır. DSET kapsam belirleme aşamasında bu sınırları netleştirir.

Bulut sızma testi ile yapılandırma denetimi aynı şey mi? Hayır ama birbirini tamamlar. Yapılandırma denetimi, ortamın bir güvenlik ölçütüne göre doğru kurulup kurulmadığını listeler; bir kontrol listesidir. Bulut sızma testi ise bir saldırganın bu yapılandırma açıklarını gerçekten istismar edip edemeyeceğini kanıtlar. İkisi birlikte hem eksiklerin listesini hem de gerçek riskin kanıtını verir.

Çok bulutlu bir ortam tek testte kapsanabilir mi? AWS, Azure ve Google Cloud aynı mantıkla ama farklı kimlik ve erişim modelleriyle çalışır. Çok bulutlu bir ortam tek bir çalışmada kapsanabilir, ama her sağlayıcı için ayrı yapılandırma mantığı ve ayrı açık sınıfları değerlendirilir. DSET testi, kullanılan sağlayıcılara göre kapsamı buna uygun ölçekler.

Kaynaklar

AWS, Azure veya Google Cloud ortamınızın yapılandırma ve erişim açıklarını kanıt temelli bir testle ortaya çıkarmak için DSET ile iletişime geçin. Ankara Hacettepe Teknokent laboratuvarımızdan bulut sızma testi ve danışmanlık sağlıyoruz.