脆弱性

被害状況

攻撃者

脆弱性

1. SaaSプラットフォームにおけるアクセス許可は非常に正確で、各ユーザーがどのデータセットにアクセスできるかを明確に示している。
2. ユーザーの基本的な権限は役割によって決定され、追加の権限は関与しているタスクやプロジェクトに基づいて付与されることがある。
3. これらの権限は正確ではあるが、非常に複雑であり、アプリケーション管理者はそれぞれのユーザーに付与された権限を表示する単一の画面を持っていない。
4. 各権限を1つの場所にまとめることは、強力なSaaSセキュリティ戦略に大きな貢献をする可能性がある。
5. 一元化された権限インベントリは、組織が攻撃面を大幅に減らし、セキュリティポリシーを強化するのに役立つ。

脆弱性

脆弱性

1. クラウドセキュリティのストレステストの基本
   • 守る側はリストで考え、攻撃者はグラフで考えるとされる。
   • セキュリティチームは攻撃者の視点を受け入れ、組織のサイバーセキュリティ防御が適切であることを確認する必要がある。
   • クラウドにおける従来のペネトレーションテストの重要性について説明。
   • クラウドのペネトレーションテストに必要な5つの基本的な構築要素について述べられている。
2. クラウドペネトレーションテストがカバーすべき項目
   • 準備段階から始まり、攻撃者がセキュリティの脆弱性を見つけ出して悪用する方法に焦点を当てている。
   • クラウドペネトレーションテストは、ハイブリッドクラウドおよびオンプレミスネットワークを持つ組織に向けても適用可能である。
   • クラウドへの侵入経路をテストすることが重要であり、オンプレミスからクラウドリソースを侵されるシナリオもカバーすべきである。
3. 1.偵察・発見
   • 組織のクラウド環境内の全資産をマッピングする初めの段階として必要。
   • 伝統的なネットワークペネトレーションテストとの違いについて説明。
4. 2.脆弱性評価
   • クラウド資産全体にわたるミスコンフィギュレーションや既知のソフトウェアの脆弱性を特定する必要がある。
   • オープンウェブアプリケーションセキュリティプロジェクト（OWASP）のトップ10セキュリティリスクなどの検証も重要。
5. 3.特権昇格
   • 攻撃者が高い権限を取得する試みとして特権昇格方法が説明されている。
   • クラウドにおけるIAMの複雑性とセキュリティリスクについて述べられている。

脆弱性

被害状況

攻撃者

脆弱性

脆弱性