Test d'Intrusion
GCP
Pourquoi Les Tests d'Intrusion GCP Sont Importants
Comment Les Attaquants Exploitent La Platforme GCP
Vulnérabilités des Applications/Serveurs
Ingénierie Sociale
Employés Internes
Repositories Git
Parties Tiers
Ré-utilisation de Mot de Passe
Nos Services d'Évaluation de la Sécurité GCP
Test d'Intrusion
d'Application SaaS
Test d'Intrusion
d'Infrastructure GCP
Audit de
Configurations GCP
Types d'Exploitations GCP Tentées
- Les contrôles d’escalade de privilèges pour tous les membres ayant accès à votre environnement.
- Évaluation de l'absence de privilèges
- Analyse et exploitation des configurations du moteur Kubernetes.
- Test des mécanismes de sécurité.
- Analyse des meilleures pratiques: journaux d’événement / surveillance (Stackdriver, cryptage, outils de sécurité intégrés, etc.)
- Test de votre périmètre externe
- Élévation de privilèges et abus entre utilisateurs / projets
- Révision des configurations et du code des fonctions Cloud
- Pivotage entre environnements GCP. (abus des approbations multi-cloud)
Besoin d'Une Soumission Pour Un Pentest GCP?
Notre Processus de Test d'Intrusion
Définition de
la Portée
Nous travaillons avec vous pour déterminer vos besoins afin d'assurer que notre proposition répond à vos attentes.
Test
d'Intrusion
Nos spécialistes simulent les méthodes d'attaque des hackers les plus avancés d'aujourd'hui pour identifier vos vulnérabilités.
Rédaction
de Rapport
Un rapport complet offrant des recommendations claires et pratiques sur la manière de traiter chaque vulnérabilité identifiée.
Présentation
du Rapport
Le rapport est présenté à vos représentants afin de garantir la pleine compréhension des constats et recommendations.
Questions Fréquentes Concernant
Nos Tests d'Intrusion GCP
Des questions supplémentaires?Contactez nous →
Quel est le coût d'un test d'intrusion GCP?
Les tests d’intrusion GCP sont personnalisés en fonction de l’envergure et de la complexité de votre environennement technologique cloud. Par conséquent, il n’y a pas de prix standard pour un test d’intrusion.
Pour chaque projet, nous déterminerons techniquement vos exigences et fixerons le temps nécessaire pour achever les travaux. Nous fournirons ensuite une proposition détaillée contenant le budget nécéssaire pour le projet et les efforts qui seront réalisés par nos spécialistes.
Quels sont les livrables d'un test d'intrusion GCP?
À la fin du projet, vous recevrez un rapport détaillé qui comprendra toutes les conclusions et les correctifs recommandées. Le rapport technique comprend les éléments suivants:
- Sommaire éxécutif présentant les principales observations et recommandations.
- Matrice des vulnérabilités classé par niveau de risque.
- Détails des vulnérablités incluant les suivants:
- Niveau de risque basé sur l’impact potentiel et l’exploitabilité.
- Recommendations pour corriger les vulnérabilités.
- Références à des ressources externes pour faciliter la mise en œuvre de nos recommandations.
- Détails Techniques tels que des captures d’écrans, traces du système, registres, etc.
- Annexe détaillant des informations techniques complémentaires.
- Méthodologie utilisée au cours du projet. (basé sur des standards reconnus)
Selon votre contexte, vous recevrez également une attestation certifiant que les tests d’intrusion ont été effectués par des professionnels expérimentés utilisant des méthodologies et des normes reconnues. Ce document vous permettra de répondre aux exigences de conformité et réglementaire de manière efficace et peu coûteuse.
En savoir plus sur ce que vous devriez trouver dans un rapport de test d’intrusion →
Avons-nous besoin de l'autorisation de Google pour tester notre infrastructure?
L’autorisation de Google n’est pas requise afin d’effectuer un Test d’Intrusion dans l’environnement GCP.
Cependant, certaines lignes directives de Google doivent être respectées afin de s’assurer de cibler l’environnement pour laquelle vous êtes responsable de la sécurité.
Comment testez-vous les infrastructures GCP?
Nous avons créé un ensemble d’images virtuelles contenant tous les outils nécessaires pour réaliser un test d’intrusion de l’environnement GCP. Ce test d’intrusion nous permet de valider la sécurité des éléments spécifiques à l’environnement et de tester des scénarios d’attaques effectués par les pirates informatiques qui tentent de s’y introduire.
Nos services permettent de valider la sécurité d’éléments spécifiques à Google Cloud tels que:
•Les contrôles d’escalade de privilèges pour tous les membres ayant accès à votre environnement.
•Vérification de l’absence de privilèges et tentatives d’exploitation afin de démontrer ce qu’un attaquant pourrait effectuer avec cet accès supplémentaire.
•Analyse et exploitation de la configuration du moteur Kubernetes.
•Test des contrôles de sécurité. (Peut-on échapper à vos contrôles techniques? Pouvons-nous agir de manière malveillante ou exfiltrer des donnéessans être detecté?)
•Analyse des meilleures pratiques: journaux d’événement / surveillance Stackdriver, cryptage, outils de sécurité intégrés, etc.
•Vérification de votre périmètre externe de l’intérieur: qu’est-ce qui ne devrait pas être exposé à l’internet public?
•Élévation de privilèges et abus entre utilisateurs / projets / organisation.
•Révision des configurations et du code des fonctions Cloud.
•Pivotage entre environnements Cloud. (abus des approbations multi-cloud)
À quelle fréquence devrais-je effectuer un test d'intrusion GCP?
Il est recommandé de réaliser un test d’intrusion GCP une fois par année car les cybermenaces et les scénarios d’attaque évoluent constamment.
Si des modifications majeures sont apportées à l’infrastructure ou si de nouvelles applications sont développées, il est recommandé de réaliser des tests supplémentaires. Cela garantit que les modifications récentes n’introduisent pas de nouvelles vulnérabilités dans l’environnement.
Certains standards de conformité, tels que ISO 27001 ou PCI DSS, nécessitent une certaine fréquence de test pour rester conformes. (Par exemple, la norme PCI requiert l’éxécution d’un test d’intrusion à chaque année ou suivant chaque modification importante à l’infrastructure)
Suivez-vous une méthodologie?
Nos services sont basés sur une méthodologie complète que nous fournissons avec chaque proposition de projet. Celle-ci décrit les étapes du test et toutes les exigences pour pouvoir effectuer le test.
Notre méthodologie de test d’intrusion des applications est conforme aux standards OWASP, qui est la norme du secteur en matière de la sécurité des applications.
Faites-nous part de vos besoins
Un spécialiste vous contactera pour:
- Comprendre vos besoins
- Déterminer la portée du projet
- Fournir un aperçu budgetaire
- Acheminer une proposition détaillée
