Cloud Penetration Testing

Définition

Le Cloud Penetration Testing est l'évaluation de sécurité offensive d'un environnement cloud, simulant les techniques d'attaque d'un acteur malveillant pour identifier les vulnérabilités et les faiblesses de sécurité avant qu'elles ne soient exploitées. Il diffère du penetration testing classique par son focus sur les surfaces d'attaque spécifiques au cloud : les APIs cloud, les identités IAM, les services managés, et les configurations cloud-natives. Les phases d'un cloud penetration test incluent : la reconnaissance (énumération des ressources cloud exposées via l'API, les sous-domaines, et les métadonnées publiques comme les buckets S3 publics, les snapshots EBS publics, les registres ECR publics), l'accès initial (exploitation des configurations IAM faibles, des credentials exposés dans GitHub ou les métadonnées d'instance, des services cloud exposés sans authentification), l'escalade de privilèges (exploitation des politiques IAM trop permissives, des rôles assumables sans condition suffisante, des credentials SSRF via IMDSv1), le mouvement latéral (pivot entre comptes AWS via des rôles cross-account, between projets GCP via des service accounts compromis), et l'objectif (exfiltration de données depuis S3/GCS, compromission de bases de données, déploiement de code malveillant dans les pipelines CI/CD). Les outils de cloud penetration testing incluent : Pacu (framework d'exploitation AWS en Python, analogue de Metasploit pour AWS), ScoutSuite (reconnaissance et audit multi-cloud), ROADtools (énumération et exploitation Azure AD/Entra ID), GCP PurplePanda (énumération GCP), CloudFox (découverte automatisée des chemins d'attaque dans AWS), et Prowler et CS Suite pour l'audit de configuration. Trufflehog, GitLeaks, et Gitleaks détectent les credentials exposés dans les repositories Git. Les contraintes légales et contractuelles du cloud penetration testing sont importantes : AWS exige de respecter sa Politique de Test de Pénétration (pas de tests de déni de service, pas de tests sur des services AWS tiers sans autorisation, pas de tests dépassant les limites de votre compte). Azure autorise les pentests sur les ressources Azure des clients sans approbation préalable (depuis 2017). GCP a des règles similaires. Toujours obtenir un accord écrit du client avant de commencer.