Binnen één werkdag nemen wij contact met je op voor een vrijblijvend scopegesprek. Samen bepalen we welke cloudomgevingen, subscriptions, accounts, workloads en cloudservices onderzocht moeten worden

Cloudomgevingen veranderen voortdurend. Nieuwe gebruikers, cloudservices, opslaglocaties en toegangsrechten worden regelmatig toegevoegd. Hierdoor kunnen ongemerkt risico’s ontstaan zoals te ruime rechten, publiek toegankelijke opslag of onveilige configuraties.

Een cloud pentest helpt deze risico’s vroegtijdig te identificeren voordat aanvallers er misbruik van maken.

Een cloud pentest:

• Brengt kwetsbaarheden aan het licht voordat aanvallers dat doen.
• Controleert cloudconfiguraties en toegangsrechten.
• Identificeert aanvalspaden binnen de cloudomgeving.
• Beschermt gevoelige data tegen ongeautoriseerde toegang.
• Levert concrete aanbevelingen voor verbetering.

Zo krijg je inzicht in de werkelijke weerbaarheid van jouw cloudomgeving.

Wij testen onder andere:

• Microsoft Azure
• Microsoft 365
• Amazon Web Services (AWS)
• Google Cloud Platform (GCP)
• Hybride cloudomgevingen
• Multi-cloud omgevingen
• Kubernetes clusters
• Containerplatformen
• SaaS-, PaaS- en IaaS-omgevingen

Een nieuwe cloud pentest is aan te raden:

• Bij migraties naar Azure, AWS of Google Cloud.
• Na grote wijzigingen in de cloudomgeving.
• Bij nieuwe subscriptions of accounts.
• Na wijzigingen in IAM-rollen en toegangsrechten.
• Periodiek, bijvoorbeeld jaarlijks.

De uitkomsten van de pentest helpen je bepalen wanneer aanvullende of herhaaltesten noodzakelijk zijn.

Na afloop ontvang je een managementsamenvatting, een technisch rapport met bevindingen en risico-inschattingen, een overzicht van verbetermaatregelen en een adviesgesprek met één van onze ethische hackers. Hiermee krijg je direct inzicht in de belangrijkste cloudrisico’s en vervolgstappen.

De doorlooptijd hangt af van de omvang van de cloudomgeving, het aantal accounts, subscriptions, workloads en cloudservices. Een cloud pentest duurt doorgaans enkele dagen tot enkele weken, afhankelijk van de scope.

De exacte scope verschilt per organisatie, maar omvat doorgaans:

• IAM-rollen en gebruikersrechten
• Service accounts
• MFA-configuraties
• API-keys en secrets
• Netwerkconfiguraties
• Firewallregels
• Security groups
• Storage accounts en buckets
• Databases
• Containers en Kubernetes
• Logging en monitoring
• CI/CD-pipelines
• Cloudintegraties en koppelingen

Veelvoorkomende bevindingen zijn:

• Te ruime IAM-rechten
• Publiek toegankelijke opslag
• Onvoldoende logging
• Open netwerkregels
• Verouderde API-keys
• Onveilige secrets-opslag
• Overmatige privileges voor service accounts
• Onvoldoende segmentatie tussen workloads

Deze kwetsbaarheden kunnen leiden tot datalekken, privilege escalation en ongeautoriseerde toegang tot cloudresources.

Dat doen cloudproviders maar gedeeltelijk. Cloudproviders zoals Microsoft, Amazon en Google beveiligen de onderliggende infrastructuur. Organisaties blijven echter zelf verantwoordelijk voor de inrichting van gebruikersrechten, opslag, netwerktoegang, logging en configuraties. Dit staat bekend als het shared responsibility model.

Een cloud pentest richt zich juist op deze klantverantwoordelijkheden.

Ja. Een cloud pentest levert waardevolle input voor informatiebeveiliging, risicobeheer en compliance-trajecten.

De rapportage kan onder meer bijdragen aan:

• de cybersecurity- en risicobeheervereisten uit de Cyberbeveiligingswet (NIS2);
• informatiebeveiligingsnormen zoals ISO 27001;
• cloudspecifieke normen zoals ISO 27017;
• interne en externe security-audits;
• risicobeoordelingen voor bestuur en directie.