Облака уже не будущее — это настоящее. И 80% взломов в облаке происходят из-за мисконфигураций, а не 0-day. Этот курс — полный гид по атакам и защите AWS, Azure и GCP: от открытых S3-бакетов до побега из контейнера, от Terraform-сканирования до облачной форензики. Ты научишься ломать облака как пентестер и защищать их как архитектор. Одна из самых высокооплачиваемых специализаций на рынке.
Чему ты научишься
✓Понимать Shared Responsibility Model и её последствия для безопасности
✓Проводить аудит безопасности AWS, Azure и GCP аккаунтов
✓Находить и эксплуатировать типичные cloud misconfigurations
✓Выполнять privilege escalation в облачных средах
✓Обеспечивать безопасность контейнеров и Kubernetes-кластеров
✓Анализировать безопасность serverless-приложений
✓
Проводить статический анализ Infrastructure as Code
✓Выполнять облачную форензику и расследование инцидентов
Что нужно знать
•Опыт работы с облаками (AWS, Azure или GCP) на базовом уровне
•Понимание сетей и Linux (FC-03 или эквивалент)
•Базовые навыки пентеста (FC-04 или эквивалент)
Программа
T1
Облака основы безопасности
Прежде чем ломать и защищать — нужно понять правила игры: модели ответственности, IAM, сети и специфику каждого провайдера.
M1
Cloud-модели и ответственность
5 карт · 5 шагов · тест 14 вопросов
IaaS, PaaS, SaaS, Shared Responsibility — фундамент, без которого в облачной безопасности делать нечего.
1.
IaaS, PaaS, SaaS — модели и различияТри модели облачных сервисов определяют, какие компоненты инфраструктуры контролирует клиент, а какие — провайдер. Понимание этих моделей критически важно для правильного распределения ответственности за безопасность.1 шагов
2.
Shared Responsibility ModelМодель разделённой ответственности определяет, какие аспекты безопасности контролирует облачный провайдер, а какие — клиент. Непонимание этой границы — причина большинства облачных инцидентов.1 шагов
3.
Identity и Access Management в облакеIAM — фундамент облачной безопасности. Пользователи, группы, роли, политики — всё это определяет, кто и что может делать в облаке. Ошибки в IAM — причина 75% облачных инцидентов.1 шагов
4.
Сетевая безопасность в облаке — VPC, SG, NSGВиртуальные частные сети (VPC), Security Groups и Network Security Groups — основа сетевой изоляции в облаке. Неправильная конфигурация сетевых правил — второй по частоте вектор облачных атак после компрометации IAM.1 шагов
5.
Обзор облачных стандартов и compliance — практикумОблачная безопасность регулируется множеством стандартов: CIS Benchmarks, SOC 2, ISO 27001, CSA STAR. В этом практикуме вы проведёте аудит облачного аккаунта на соответствие CIS Benchmark с помощью Prowler.1 шагов
M2
AWS Security
5 карт · 5 шагов · тест 14 вопросов
Самое популярное облако — и самое атакуемое. IAM, S3, CloudTrail, GuardDuty — полный аудит AWS-аккаунта.
1.
AWS IAM — политики, роли, boundariesГлубокое погружение в AWS IAM: типы политик, Permission Boundaries, условия (Conditions), SCP. Правильная настройка IAM — фундамент безопасности AWS-инфраструктуры.1 шагов
2.
S3 Bucket Security и шифрованиеAmazon S3 — самый атакуемый облачный сервис. Публичные бакеты, отсутствие шифрования и некорректные Bucket Policies — причина крупнейших утечек данных. Освоим полный hardening S3.1 шагов
3.
CloudTrail и GuardDuty — мониторингCloudTrail записывает все API-вызовы в AWS, а GuardDuty использует ML для обнаружения аномалий. Вместе они формируют основу мониторинга и детекции угроз в AWS.1 шагов
4.
AWS Security Hub и ConfigSecurity Hub агрегирует findings из всех AWS-сервисов безопасности в единый дашборд. AWS Config отслеживает конфигурацию ресурсов и compliance в реальном времени. Вместе они дают полную видимость security posture.
M3
Azure Security
5 карт · 5 шагов · тест 14 вопросов
Entra ID, RBAC, Sentinel — Azure доминирует в enterprise. Учимся защищать и проверять корпоративные подписки.
1.
Azure AD и Entra ID — аутентификацияMicrosoft Entra ID (бывший Azure AD) — центр идентификации для всей экосистемы Microsoft. Аутентификация, SSO, Conditional Access и защита от компрометации учётных записей — фундамент безопасности Azure.1 шагов
2.
Azure RBAC и Managed IdentitiesAzure RBAC обеспечивает гранулярный доступ к ресурсам через роли и scopes. Managed Identities устраняют необходимость в паролях для приложений, замыкая цикл безопасного доступа без секретов.1 шагов
3.
Azure Defender и SentinelMicrosoft Defender for Cloud обеспечивает CSPM и CWPP для Azure, а Microsoft Sentinel — облачный SIEM/SOAR для обнаружения угроз и автоматизированного реагирования. Вместе они формируют полный цикл cloud security operations.1 шагов
4.
Network Security Groups и Azure FirewallNSG фильтрует трафик на уровне подсети и NIC, Azure Firewall — централизованный L7-файрвол с TLS inspection и threat intelligence. Комплексная сетевая безопасность Azure строится на обоих уровнях.
T2
Атаки на облака
Открытые бакеты, украденные токены, побег из контейнера — реальные атаки, которые ломают компании каждый день. Ты научишься их воспроизводить.
M4
Cloud Misconfigurations
5 карт · 5 шагов · тест 14 вопросов
IaaS, PaaS, SaaS, Shared Responsibility — фундамент, без которого в облачной безопасности делать нечего.
1.
Открытые S3-бакеты и Storage AccountПубличные облачные хранилища — причина крупнейших утечек данных. Научимся находить открытые S3-бакеты и Azure Storage Accounts с помощью инструментов разведки и автоматизированного сканирования.1 шагов
2.
Публичные snapshots и AMIПублично расшаренные EBS snapshots и AMI могут содержать секреты, ключи и конфиденциальные данные. Атакующие систематически сканируют публичные snapshots в поисках credentials для начального доступа.1 шагов
3.
T3
Защита и мониторинг
Атаковать умеешь — теперь учись защищать: IaC-сканирование, CSPM, мультиоблачный мониторинг и облачная форензика.
M7
GCP и мультиоблако
5 карт · 5 шагов · тест 13 вопросов
IaaS, PaaS, SaaS, Shared Responsibility — фундамент, без которого в облачной безопасности делать нечего.
1.
GCP IAM и организационная структураGoogle Cloud IAM построен на иерархии Organization → Folder → Project → Resource. Политики наследуются сверху вниз. Service Accounts с JSON-ключами — главный риск. Понимание GCP IAM необходимо для мультиоблачной стратегии.1 шагов
2.
GCP Security Command CenterSecurity Command Center (SCC) — центральная платформа безопасности GCP. Обнаружение уязвимостей, мисконфигураций, угроз и данных. Premium tier включает Event Threat Detection, Container Threat Detection и Web Security Scanner.1 шагов
3.
1 шагов
5.
Аудит безопасности AWS-аккаунта — практикумКомплексный практикум: проводим полный аудит безопасности AWS-аккаунта с помощью Prowler, ScoutSuite и ручных проверок. Генерируем отчёт, приоритизируем находки, выполняем ремедиацию.1 шагов
1 шагов
5.
Аудит безопасности Azure-подписки — практикумКомплексный практикум: проводим полный аудит Azure-подписки с помощью Prowler для Azure, Microsoft Defender for Cloud и ручных проверок через Azure CLI. Генерируем отчёт и выполняем ремедиацию.1 шагов
Избыточные права сервисных аккаунтов
Сервисные аккаунты с правами администратора — самый распространённый путь к privilege escalation в облаке. Lambda с AdministratorAccess, EC2 Instance Role с full S3 — каждый избыточный permission расширяет blast radius атаки.
1 шагов
4.
Exposed metadata endpoints — SSRF к cloudSSRF-уязвимости в облачных приложениях позволяют через metadata endpoint (169.254.169.254) получить IAM credentials. Это был вектор атаки Capital One. IMDSv2 и сетевые ограничения — обязательная защита.1 шагов
5.
Поиск мисконфигураций с ScoutSuite — практикумScoutSuite — мультиоблачный инструмент аудита безопасности с интерактивным HTML-отчётом. В этом практикуме проведём полный аудит AWS/Azure с ScoutSuite и научимся интерпретировать результаты.1 шагов
M5
Cloud Privilege Escalation
5 карт · 5 шагов · тест 15 вопросов
Самое популярное облако — и самое атакуемое. IAM, S3, CloudTrail, GuardDuty — полный аудит AWS-аккаунта.
1.
IAM Privilege Escalation в AWS — PacuPacu — фреймворк для пентеста AWS от Rhino Security Labs. 21+ техника privilege escalation через IAM: от iam:PassRole через Lambda до CreateLoginProfile. Изучим каждый вектор и научимся его использовать и предотвращать.1 шагов
2.
Azure Privilege Escalation через Graph APIMicrosoft Graph API — единый API для управления всеми сервисами Microsoft. Злоупотребление Application Permissions, consent flows и role assignments позволяет эскалировать привилегии от обычного пользователя до Global Admin.1 шагов
3.
Lateral movement между облачными сервисамиПосле initial access атакующие перемещаются между облачными сервисами, используя IAM roles, metadata, shared credentials и trust relationships. Lambda→S3→RDS→EC2 — каждый сервис может стать плацдармом для следующего.1 шагов
4.
Stolen tokens и session hijackingОблачные токены (AWS STS, Azure OAuth, GCP access tokens) — основная цель атакующих. Украденный токен даёт доступ без пароля и MFA. Источники утечки: GitHub, логи, metadata, malware. Защита: короткие TTL, IP binding, мониторинг.1 шагов
5.
Симуляция атаки на облачную среду — практикумПолный практикум red team операции в облаке: от initial access через SSRF до privilege escalation и data exfiltration. Используем Pacu, ScoutSuite, CloudTrail для атаки и детекции. Цель — прочувствовать обе стороны.1 шагов
M6
Container и Kubernetes Security
5 карт · 5 шагов · тест 15 вопросов
Entra ID, RBAC, Sentinel — Azure доминирует в enterprise. Учимся защищать и проверять корпоративные подписки.
1.
Docker Security — образы, runtime, capabilitiesКонтейнеры Docker не являются sandbox-изоляцией по умолчанию. Уязвимые базовые образы, избыточные capabilities, привилегированный режим и секреты в образах — основные векторы атак на контейнеризированные приложения.1 шагов
2.
Kubernetes — архитектура и attack surfaceKubernetes — де-факто стандарт оркестрации контейнеров с масштабной поверхностью атаки. API Server, etcd, kubelet, pods — каждый компонент имеет свои уязвимости. Понимание архитектуры K8s — основа для его защиты.1 шагов
3.
RBAC и Network Policies в KubernetesKubernetes RBAC определяет, кто может выполнять какие операции с ресурсами кластера. Network Policies ограничивают сетевое взаимодействие между pods. Без них — любой pod может обращаться к любому другому и каждый ServiceAccount потенциально опасен.1 шагов
4.
Побег из контейнера и атаки на clusterContainer escape — переход от контейнера к хост-системе через privileged mode, docker socket, kernel exploits или misconfigured mounts. После escape — полный контроль над node и доступ ко всем pods.1 шагов
5.
Аудит Kubernetes-кластера — практикумКомплексный практикум: полный аудит безопасности Kubernetes-кластера с помощью kube-bench (CIS Benchmark), kubeaudit, Trivy и ручных проверок RBAC, Network Policies и pod security.1 шагов
Мультиоблачная стратегия безопасности
85% организаций используют мультиоблако, но каждый провайдер имеет свою модель безопасности. Единая стратегия безопасности, централизованный мониторинг и унифицированные политики — ключ к защите мультиоблачных сред.
1 шагов
4.
Cloud Security Posture Management (CSPM)CSPM автоматически обнаруживает мисконфигурации, нарушения compliance и риски в облачных средах. Prowler, ScoutSuite, Wiz — инструменты CSPM покрывают все облака и обеспечивают непрерывный мониторинг security posture.1 шагов
5.
Настройка CSPM для мультиоблака — практикумПрактикум: настраиваем open-source CSPM для AWS и Azure с Prowler и Steampipe. Создаём единый дашборд, автоматизируем аудит в CI/CD, настраиваем алерты и auto-remediation.1 шагов
M8
Infrastructure as Code Security
5 карт · 5 шагов · тест 14 вопросов
Самое популярное облако — и самое атакуемое. IAM, S3, CloudTrail, GuardDuty — полный аудит AWS-аккаунта.
1.
Terraform — принципы и security risksTerraform — самый популярный инструмент IaC. Но IaC-код может содержать мисконфигурации, хардкоженные секреты и избыточные права, которые развёртываются в production автоматически.1 шагов
2.
Статический анализ IaC — Checkov, tfsecCheckov и tfsec сканируют Terraform/CloudFormation на мисконфигурации ДО деплоя. Shift-left security: ловим проблемы на этапе кода, а не в production.1 шагов
3.
Policy as Code — Open Policy AgentOpen Policy Agent (OPA) описывает политики безопасности как код на языке Rego. Единый policy engine для Kubernetes, Terraform, CI/CD и API gateway.1 шагов
4.
Secrets Management в IaCСекреты в IaC — бомба замедленного действия. Vault, Secrets Manager, Key Vault — инструменты для безопасного управления без хардкода в коде.1 шагов
5.
CI/CD Pipeline Security для IaC — практикумПрактикум: настраиваем безопасный CI/CD pipeline для Terraform с Checkov, SOPS, policy gates. Полный цикл от commit до production.1 шагов
M9
Cloud Forensics и мониторинг
5 карт · 5 шагов · тест 14 вопросов
Entra ID, RBAC, Sentinel — Azure доминирует в enterprise. Учимся защищать и проверять корпоративные подписки.
1.
Сбор доказательств в облачной средеОблачная форензика требует особого подхода: volatile данные в VM, логи с ограниченным retention, snapshots вместо disk imaging. Правильный сбор доказательств — основа расследования.1 шагов
2.
CloudTrail и Activity Log — расследованиеCloudTrail и Azure Activity Log — главные источники доказательств при расследовании облачных инцидентов. Athena SQL-запросы, KQL, timeline reconstruction.1 шагов
3.
Контейнерная форензикаКонтейнеры эфемерны — при перезапуске все данные теряются. Форензика контейнеров требует runtime capture, image analysis и log correlation до уничтожения evidence.1 шагов
4.
Автоматизация реагирования — Lambda FunctionsLambda/Cloud Functions для автоматического реагирования на инциденты: изоляция EC2, блокировка IAM, snapshot для форензики, уведомления SOC — за секунды вместо часов.1 шагов
5.
Расследование инцидента в облаке — практикумФинальный практикум: полное расследование облачного инцидента от обнаружения до отчёта. Анализ CloudTrail, реконструкция timeline, определение blast radius, containment, remediation.1 шагов
