クラウドサービスを脆弱性診断する時のお作法 - とある診断員の備忘録

「とある診断員の備忘録」というタイトルのわりに、ブログを始めてから今まで脆弱性診断に関することを一切書いていなかったことに気づいたので、そろそろ脆弱性診断ネタを書こうかと思います。 今回はクラウドプラットフォームに対する脆弱性診断の小ネタです。 クラウドサービスを診断する時のお作法って？ 私が脆弱性診断をやり始めた駆け出しの頃では、オンプレ環境の診断対象が多かったのですが、最近ではクラウドプラットフォームなどの利用が当たり前となったため、クラウド環境の診断対象と沢山エンカウントします。 クラウド環境に対して脆弱性診断を実施する場合には、実はいくつか抑えておくべきお作法があります。 1. クラウド事業者側に診断事前に申請が必要な場合がある 脆弱性診断の種類にもよりますが、ブラックボックステストでは疑似的な攻撃を実施して脆弱性の有無を判定するため、不正アクセスとして検知される可能性もあります。

[tak4hir0]

クラウドサービスを脆弱性診断する時のお作法 - とある診断員の備忘録

[jtw]

クラウド事業者側が自衛しているか否かですねー。事前申請不要＝防御網はありませんよっていう宣言。

[z1h4784]

AWSはEC2とRDSしかテストできないからやりにくいんだよな。スライドにもある通りELB使ってると大変だし

[uskey]

AWSだと事前申請が必要

[koyancya]

事前申請、GCP と Azure は不要だけど、AWS は必要なのか

[ohesotori]

診断先にちゃんと確認したら、「やっちゃってください」って言われて、次年度も同じように聞いたときに「公式回答でFA?」って付け加えたら「やっぱりだめー」って言われたことあるぞ。

[civitaspo]

クラウドサービスを脆弱性診断する時のお作法 - とある診断員の備忘録

[ionis]

AzureとGCPは申請不要だったのか〜。楽で良いな。