Visão Geral

Curso Hacking Cloud Infrastructure, Seja você um arquiteto, desenvolvedor, pentester, engenheiro de segurança ou DevOps, ou qualquer pessoa com necessidade de entender e gerenciar vulnerabilidades em um ambiente de nuvem, entender as técnicas de hacking relevantes e como se proteger delas é fundamental. Esta aula abrange tanto a teoria quanto várias técnicas modernas que podem ser usadas para comprometer vários serviços e infraestrutura em nuvem.

A experiência anterior em pentest/segurança não é um requisito estrito, no entanto, algum conhecimento de serviços em nuvem e familiaridade com a sintaxe comum de linha de comando do Unix será benéfico.

Objetivo

• Aprenda como lidar com problemas de segurança na nuvem para AWS, Azure e Google Cloud Platform na teoria e na prática
• Entenda as vulnerabilidades complexas no ambiente de nuvem e aprenda como protegê-las com eficácia.
• Enumerar ativos de nuvem e entrar em um ambiente de nuvem
• Aprenda a se preparar para a auditoria e auditar o plano de dados e imagens de ouro, imagens AMI e Docker

Publico Alvo

• Administradores de nuvem, desenvolvedores, arquitetos de soluções, engenheiros de DevOps, analistas de SOC, testadores de caneta, engenheiros de rede, entusiastas de segurança e qualquer pessoa que queira levar suas habilidades para o próximo nível.
• A experiência anterior em testes de penetração não é um requisito estrito, no entanto, algum conhecimento de serviços em nuvem e sintaxe de linha de comando comum será muito benéfico.

Pre-Requisitos

Deve ter um software de virtualização (virtualbox / VMWare) pré-instalado. Uma versão personalizada do Kali Linux (formato ova) contendo ferramentas personalizadas, scripts e scripts VPN para a aula será fornecida aos alunos. O laptop deve ter pelo menos 4 GB de RAM e 20 GB de espaço livre em disco dedicado à VM.

Materiais

Conteúdo Programatico

INTRODUCTION TO CLOUD COMPUTING

1. Introduction to cloud and why cloud security matters
2. Comparison with conventional security models
3. Shared responsibility model
4. Legalities around Cloud Pentesting
5. Attacking Cloud Services

ENUMERATION OF CLOUD ENVIRONMENTS

1. DNS based enumeration
2. OSINT techniques for cloud-based asset

GAINING ENTRY VIA EXPOSED SERVICES

1. Serverless based attacks (AWS Lambda / Azure & Google functions)
2. Web application Attacks
   1. SSRF Exploitation over AWS ElasticBeanStalk
   2. Exploiting vulnerable applications over GCP and Azure

ATTACKING STORAGE SERVICES (AWS, AZURE, GCP)

1. Exploring files in storage
2. Exploring SAS URL's in Azure
3. Achieving privilege elevation via secrets in Storage
4. Remote code Execution via storage in PaaS, FaaS environment

ATTACKING AZURE AD ENVIRONMENT

1. Enumeration in Azure AD
2. Various Azure Services
3. Azure Service exploitation
4. Stealing secrets from Azure services

IAM MISCONFIGURATION ATTACKS

1. Exploiting Shadow admins in AWS and Azure
2. Attacking AWS Incognito misconfigurations

POST – EXPLOITATION

1. Persistence in Cloud
2. Post exploit enumeration
3. Snapshot access
4. Backdooring the account

EXPLOITING KUBERNETES CLUSTERS AND CONTAINERS AS A SERVICE

1. Understanding how container technology work
2. Exploiting docker environments and breaking out of containers

3. K8s exploitation and breakouts

AUDITING AND BENCHMARKING OF CLOUD

1. Preparing for the audit
2. Automated auditing via tools
3. Golden Image / Docker image audits
4. Auditing Kubernetes Environments using Opensource tools
5. Windows IaaS auditing
6. Linux IaaS Auditing
7. Relevant Benchmarks for cloud