Безопасность облаков

IaaS, PaaS, SaaS, Shared Responsibility — фундамент, без которого в облачной безопасности делать нечего.

• 1.
  IaaS, PaaS, SaaS — модели и различияТри модели облачных сервисов определяют, какие компоненты инфраструктуры контролирует клиент, а какие — провайдер. Понимание этих моделей критически важно для правильного распределения ответственности за безопасность.
• 2.
  Shared Responsibility ModelМодель разделённой ответственности определяет, какие аспекты безопасности контролирует облачный провайдер, а какие — клиент. Непонимание этой границы — причина большинства облачных инцидентов.
• 3.
  Identity и Access Management в облакеIAM — фундамент облачной безопасности. Пользователи, группы, роли, политики — всё это определяет, кто и что может делать в облаке. Ошибки в IAM — причина 75% облачных инцидентов.
• 4.
  Сетевая безопасность в облаке — VPC, SG, NSGВиртуальные частные сети (VPC), Security Groups и Network Security Groups — основа сетевой изоляции в облаке. Неправильная конфигурация сетевых правил — второй по частоте вектор облачных атак после компрометации IAM.
• 5.
  Обзор облачных стандартов и compliance — практикумОблачная безопасность регулируется множеством стандартов: CIS Benchmarks, SOC 2, ISO 27001, CSA STAR. В этом практикуме вы проведёте аудит облачного аккаунта на соответствие CIS Benchmark с помощью Prowler.

Самое популярное облако — и самое атакуемое. IAM, S3, CloudTrail, GuardDuty — полный аудит AWS-аккаунта.

• 1.
  AWS IAM — политики, роли, boundariesГлубокое погружение в AWS IAM: типы политик, Permission Boundaries, условия (Conditions), SCP. Правильная настройка IAM — фундамент безопасности AWS-инфраструктуры.
• 2.
  S3 Bucket Security и шифрованиеAmazon S3 — самый атакуемый облачный сервис. Публичные бакеты, отсутствие шифрования и некорректные Bucket Policies — причина крупнейших утечек данных. Освоим полный hardening S3.
• 3.
  CloudTrail и GuardDuty — мониторингCloudTrail записывает все API-вызовы в AWS, а GuardDuty использует ML для обнаружения аномалий. Вместе они формируют основу мониторинга и детекции угроз в AWS.
• 4.
  AWS Security Hub и ConfigSecurity Hub агрегирует findings из всех AWS-сервисов безопасности в единый дашборд. AWS Config отслеживает конфигурацию ресурсов и compliance в реальном времени. Вместе они дают полную видимость security posture.
• 5.
  Аудит безопасности AWS-аккаунта — практикумКомплексный практикум: проводим полный аудит безопасности AWS-аккаунта с помощью Prowler, ScoutSuite и ручных проверок. Генерируем отчёт, приоритизируем находки, выполняем ремедиацию.

Entra ID, RBAC, Sentinel — Azure доминирует в enterprise. Учимся защищать и проверять корпоративные подписки.

• 1.
  Azure AD и Entra ID — аутентификацияMicrosoft Entra ID (бывший Azure AD) — центр идентификации для всей экосистемы Microsoft. Аутентификация, SSO, Conditional Access и защита от компрометации учётных записей — фундамент безопасности Azure.
• 2.
  Azure RBAC и Managed IdentitiesAzure RBAC обеспечивает гранулярный доступ к ресурсам через роли и scopes. Managed Identities устраняют необходимость в паролях для приложений, замыкая цикл безопасного доступа без секретов.
• 3.
  Azure Defender и SentinelMicrosoft Defender for Cloud обеспечивает CSPM и CWPP для Azure, а Microsoft Sentinel — облачный SIEM/SOAR для обнаружения угроз и автоматизированного реагирования. Вместе они формируют полный цикл cloud security operations.
• 4.
  Network Security Groups и Azure FirewallNSG фильтрует трафик на уровне подсети и NIC, Azure Firewall — централизованный L7-файрвол с TLS inspection и threat intelligence. Комплексная сетевая безопасность Azure строится на обоих уровнях.
• 5.
  Аудит безопасности Azure-подписки — практикумКомплексный практикум: проводим полный аудит Azure-подписки с помощью Prowler для Azure, Microsoft Defender for Cloud и ручных проверок через Azure CLI. Генерируем отчёт и выполняем ремедиацию.

IaaS, PaaS, SaaS, Shared Responsibility — фундамент, без которого в облачной безопасности делать нечего.

• 1.
  Открытые S3-бакеты и Storage AccountПубличные облачные хранилища — причина крупнейших утечек данных. Научимся находить открытые S3-бакеты и Azure Storage Accounts с помощью инструментов разведки и автоматизированного сканирования.
• 2.
  Публичные snapshots и AMIПублично расшаренные EBS snapshots и AMI могут содержать секреты, ключи и конфиденциальные данные. Атакующие систематически сканируют публичные snapshots в поисках credentials для начального доступа.
• 3.
  Избыточные права сервисных аккаунтовСервисные аккаунты с правами администратора — самый распространённый путь к privilege escalation в облаке. Lambda с AdministratorAccess, EC2 Instance Role с full S3 — каждый избыточный permission расширяет blast radius атаки.
• 4.
  Exposed metadata endpoints — SSRF к cloudSSRF-уязвимости в облачных приложениях позволяют через metadata endpoint (169.254.169.254) получить IAM credentials. Это был вектор атаки Capital One. IMDSv2 и сетевые ограничения — обязательная защита.
• 5.
  Поиск мисконфигураций с ScoutSuite — практикумScoutSuite — мультиоблачный инструмент аудита безопасности с интерактивным HTML-отчётом. В этом практикуме проведём полный аудит AWS/Azure с ScoutSuite и научимся интерпретировать результаты.

Самое популярное облако — и самое атакуемое. IAM, S3, CloudTrail, GuardDuty — полный аудит AWS-аккаунта.

• 1.
  IAM Privilege Escalation в AWS — PacuPacu — фреймворк для пентеста AWS от Rhino Security Labs. 21+ техника privilege escalation через IAM: от iam:PassRole через Lambda до CreateLoginProfile. Изучим каждый вектор и научимся его использовать и предотвращать.
• 2.
  Azure Privilege Escalation через Graph APIMicrosoft Graph API — единый API для управления всеми сервисами Microsoft. Злоупотребление Application Permissions, consent flows и role assignments позволяет эскалировать привилегии от обычного пользователя до Global Admin.
• 3.
  Lateral movement между облачными сервисамиПосле initial access атакующие перемещаются между облачными сервисами, используя IAM roles, metadata, shared credentials и trust relationships. Lambda→S3→RDS→EC2 — каждый сервис может стать плацдармом для следующего.
• 4.
  Stolen tokens и session hijackingОблачные токены (AWS STS, Azure OAuth, GCP access tokens) — основная цель атакующих. Украденный токен даёт доступ без пароля и MFA. Источники утечки: GitHub, логи, metadata, malware. Защита: короткие TTL, IP binding, мониторинг.
• 5.
  Симуляция атаки на облачную среду — практикумПолный практикум red team операции в облаке: от initial access через SSRF до privilege escalation и data exfiltration. Используем Pacu, ScoutSuite, CloudTrail для атаки и детекции. Цель — прочувствовать обе стороны.

Entra ID, RBAC, Sentinel — Azure доминирует в enterprise. Учимся защищать и проверять корпоративные подписки.

• 1.
  Docker Security — образы, runtime, capabilitiesКонтейнеры Docker не являются sandbox-изоляцией по умолчанию. Уязвимые базовые образы, избыточные capabilities, привилегированный режим и секреты в образах — основные векторы атак на контейнеризированные приложения.
• 2.
  Kubernetes — архитектура и attack surfaceKubernetes — де-факто стандарт оркестрации контейнеров с масштабной поверхностью атаки. API Server, etcd, kubelet, pods — каждый компонент имеет свои уязвимости. Понимание архитектуры K8s — основа для его защиты.
• 3.
  RBAC и Network Policies в KubernetesKubernetes RBAC определяет, кто может выполнять какие операции с ресурсами кластера. Network Policies ограничивают сетевое взаимодействие между pods. Без них — любой pod может обращаться к любому другому и каждый ServiceAccount потенциально опасен.
• 4.
  Побег из контейнера и атаки на clusterContainer escape — переход от контейнера к хост-системе через privileged mode, docker socket, kernel exploits или misconfigured mounts. После escape — полный контроль над node и доступ ко всем pods.
• 5.
  Аудит Kubernetes-кластера — практикумКомплексный практикум: полный аудит безопасности Kubernetes-кластера с помощью kube-bench (CIS Benchmark), kubeaudit, Trivy и ручных проверок RBAC, Network Policies и pod security.

IaaS, PaaS, SaaS, Shared Responsibility — фундамент, без которого в облачной безопасности делать нечего.

• 1.
  GCP IAM и организационная структураGoogle Cloud IAM построен на иерархии Organization → Folder → Project → Resource. Политики наследуются сверху вниз. Service Accounts с JSON-ключами — главный риск. Понимание GCP IAM необходимо для мультиоблачной стратегии.
• 2.
  GCP Security Command CenterSecurity Command Center (SCC) — центральная платформа безопасности GCP. Обнаружение уязвимостей, мисконфигураций, угроз и данных. Premium tier включает Event Threat Detection, Container Threat Detection и Web Security Scanner.
• 3.
  Мультиоблачная стратегия безопасности85% организаций используют мультиоблако, но каждый провайдер имеет свою модель безопасности. Единая стратегия безопасности, централизованный мониторинг и унифицированные политики — ключ к защите мультиоблачных сред.
• 4.
  Cloud Security Posture Management (CSPM)CSPM автоматически обнаруживает мисконфигурации, нарушения compliance и риски в облачных средах. Prowler, ScoutSuite, Wiz — инструменты CSPM покрывают все облака и обеспечивают непрерывный мониторинг security posture.
• 5.
  Настройка CSPM для мультиоблака — практикумПрактикум: настраиваем open-source CSPM для AWS и Azure с Prowler и Steampipe. Создаём единый дашборд, автоматизируем аудит в CI/CD, настраиваем алерты и auto-remediation.

Самое популярное облако — и самое атакуемое. IAM, S3, CloudTrail, GuardDuty — полный аудит AWS-аккаунта.

• 1.
  Terraform — принципы и security risksTerraform — самый популярный инструмент IaC. Но IaC-код может содержать мисконфигурации, хардкоженные секреты и избыточные права, которые развёртываются в production автоматически.
• 2.
  Статический анализ IaC — Checkov, tfsecCheckov и tfsec сканируют Terraform/CloudFormation на мисконфигурации ДО деплоя. Shift-left security: ловим проблемы на этапе кода, а не в production.
• 3.
  Policy as Code — Open Policy AgentOpen Policy Agent (OPA) описывает политики безопасности как код на языке Rego. Единый policy engine для Kubernetes, Terraform, CI/CD и API gateway.
• 4.
  Secrets Management в IaCСекреты в IaC — бомба замедленного действия. Vault, Secrets Manager, Key Vault — инструменты для безопасного управления без хардкода в коде.
• 5.
  CI/CD Pipeline Security для IaC — практикумПрактикум: настраиваем безопасный CI/CD pipeline для Terraform с Checkov, SOPS, policy gates. Полный цикл от commit до production.

Entra ID, RBAC, Sentinel — Azure доминирует в enterprise. Учимся защищать и проверять корпоративные подписки.

• 1.
  Сбор доказательств в облачной средеОблачная форензика требует особого подхода: volatile данные в VM, логи с ограниченным retention, snapshots вместо disk imaging. Правильный сбор доказательств — основа расследования.
• 2.
  CloudTrail и Activity Log — расследованиеCloudTrail и Azure Activity Log — главные источники доказательств при расследовании облачных инцидентов. Athena SQL-запросы, KQL, timeline reconstruction.
• 3.
  Контейнерная форензикаКонтейнеры эфемерны — при перезапуске все данные теряются. Форензика контейнеров требует runtime capture, image analysis и log correlation до уничтожения evidence.
• 4.
  Автоматизация реагирования — Lambda FunctionsLambda/Cloud Functions для автоматического реагирования на инциденты: изоляция EC2, блокировка IAM, snapshot для форензики, уведомления SOC — за секунды вместо часов.
• 5.
  Расследование инцидента в облаке — практикумФинальный практикум: полное расследование облачного инцидента от обнаружения до отчёта. Анализ CloudTrail, реконструкция timeline, определение blast radius, containment, remediation.