Passa al contenuto principale
Versione: 1.0.0

Test delle configurazioni errate del cloud

Testate la vostra infrastruttura cloud per individuare configurazioni errate di sicurezza con simulazioni che identificano i rischi di esposizione su AWS, Azure, GCP e altri provider cloud.

Funzionalità dei test cloud​

Supporto multi-cloud​

Testate su tutti i provider:

  • Amazon Web Services (AWS)
  • Microsoft Azure
  • Google Cloud Platform (GCP)
  • Altri provider cloud

Valutazione della configurazione​

Verificate le configurazioni errate:

  • Esposizione pubblica
  • Permessi eccessivi
  • Crittografia mancante
  • Impostazioni predefinite non sicure

Verifica della conformità​

Validate rispetto agli standard:

  • Benchmark CIS
  • Best practice dei provider
  • Normative di settore
  • Policy personalizzate

Configurazioni errate comuni​

Problemi di storage​

  • Bucket S3 pubblici
  • Storage non crittografato
  • Container Azure Blob aperti
  • Bucket GCS accessibili

Esposizione di rete​

  • Security group aperti
  • Istanze pubbliche
  • ACL di rete mancanti
  • Traffico in uscita non limitato

Identità e accesso​

  • IAM eccessivamente permissivo
  • MFA mancante
  • Credenziali inutilizzate
  • Accesso cross-account

Lacune di crittografia​

  • Database non crittografati
  • KMS mancante
  • Configurazioni di crittografia deboli
  • Chiavi esposte

Logging e monitoraggio​

  • Logging disabilitato
  • CloudTrail mancante
  • Monitoraggio incompleto
  • Nessun avviso

Esecuzione dei test cloud​

Configurazione dei test​

  1. Navigate su Simulazione di attacchi → Configurazioni errate del cloud
  2. Cliccate su Nuovo test
  3. Configurate:
    • Account cloud
    • Servizi da testare
    • Framework di conformità
    • Limitazioni dell'ambito
  4. Eseguite il test

Configurazione dell'ambito​

Definite i confini del test:

  • Account specifici
  • Regioni
  • Servizi
  • Tipi di risorse

Profondità del test​

Scegliete il livello di copertura:

  • Scansione rapida (problemi critici)
  • Scansione standard (problemi comuni)
  • Scansione approfondita (completa)
  • Selezione personalizzata

Risultati dei test​

Riepilogo dei risultati​

  • Totale configurazioni errate
  • Per gravità
  • Per servizio
  • Per account

Dettagli delle scoperte​

Per ogni problema:

  • Risorsa interessata
  • Descrizione della configurazione errata
  • Livello di rischio
  • Passaggi di correzione
  • Impatto sulla conformità

Valutazione del rischio​

  • Livello di esposizione
  • Dati a rischio
  • Violazioni di conformità
  • Impatto aziendale

Test specifici per servizio​

Servizi di calcolo​

  • Security group EC2
  • Metadati delle istanze
  • Indirizzi IP pubblici
  • Sicurezza delle AMI

Servizi di storage​

  • Policy dei bucket
  • Controlli di accesso
  • Crittografia
  • Versionamento

Servizi di database​

  • Accesso pubblico
  • Crittografia a riposo
  • Configurazione dei backup
  • Controlli di accesso

Servizi di rete​

  • Configurazione VPC
  • Sicurezza del peering
  • Tabelle di routing
  • Flow log

Servizi di identità​

  • Policy IAM
  • Relazioni di trust dei ruoli
  • Account di servizio
  • Chiavi di accesso

Correzione​

Guida alla correzione​

Per ogni scoperta:

  • Cosa è sbagliato
  • Perché è importante
  • Come correggerlo
  • Passaggi di prevenzione

Automazione​

  • Opzioni di correzione automatica
  • Correzioni Infrastructure-as-Code
  • Applicazione delle policy
  • Rilevamento della deriva

Verifica​

Confermate la correzione:

  • Riscansionate le risorse interessate
  • Verificate la configurazione
  • Controllate la conformità
  • Documentate le modifiche

Monitoraggio continuo​

Protezione continua​

Dopo i test:

  • Attivate la scansione continua
  • Configurate gli avvisi
  • Monitorate la deriva
  • Rivalutazione regolare

Integrazione​

Collegate con:

  • Sistemi SIEM
  • Sistemi di ticketing
  • Canali di notifica
  • Strumenti di conformità

Best practice​

  1. Scansionate tutti gli account — Copertura completa
  2. Testate regolarmente — Settimanalmente o continuamente
  3. Prioritizzate l'esposizione — Problemi pubblici per primi
  4. Usate i framework — Benchmark CIS
  5. Automatizzate le correzioni — Dove possibile
  6. Prevenite la deriva — Monitoraggio continuo

Correlato: