Cloud-native сервис
Аудит безопасности инфраструктуры CI/CD в крупном b2c-сервисе.
- Пентест инфраструктуры GitLab
- Анализ кластеров Kubernetes
- Тестирование микросервисных API
Кибербезопасность для облаков, ЦОД и телекома
Для облачного провайдера главный вопрос — держит ли изоляция между клиентами; для cloud-native компании — не открыта ли инфраструктура через конфигурацию, Kubernetes или CI/CD. Мы тестируем и сами платформы, и то, что на них построено: крупные облачные провайдеры выбирают DeteAct для пентестов, и мы оцениваем защищённость 4 из 5 крупнейших из них.
Что обычно тестируем в отрасли
- Объекты
- Облачные платформы на OpenStack или собственной разработки, гипервизоры, underlay и overlay сети, Kubernetes и Docker, CI/CD (GitLab, Jenkins, TeamCity), IaC, облачные API, микросервисы, service mesh, serverless
- Драйверы
- 152-ФЗ, 187-ФЗ и КИИ, договорные требования клиентов к изоляции данных, модель разделённой ответственности
- Типовые сценарии
- Выход из ВМ или контейнера, доступ к данным другого тенанта, компрометация пайплайна, ошибка конфигурации с публичным доступом
- Состав проекта
- Пентест платформы и k8s, аудит конфигураций и IaC, пентест CI/CD, тестирование API, непрерывный мониторинг периметра
Специфика облачной безопасности
Сложная архитектура с множественными облачными провайдерами, гипервизорами, контейнерами и микросервисами создаёт новые векторы атак. Неправильная настройка облачных сервисов и политик безопасности — основная причина утечек данных, а разделение ответственности между провайдером и клиентом требует чёткого понимания границ.
Kubernetes, Docker и другие контейнерные технологии требуют отдельной методологии. Множественные API, сервисная архитектура и интеграции образуют сложную поверхность атаки, а распределённая среда требует непрерывного мониторинга безопасности, иначе атака остаётся незамеченной.
Мы тестируем как cloud-native инфраструктуры, так и сами облачные платформы и провайдеров: от гипервизора и сетевого стека до конфигураций клиентских окружений.
Модель угроз и что проверяем
Для провайдера и для клиента облака таблица читается по-разному: первый отвечает за платформу, второй — за всё, что на ней развёрнуто.
| Актив | Угроза | Что проверяем |
|---|---|---|
| Платформа провайдера (OpenStack или собственная) | Выход из виртуальной машины, повышение привилегий в управляющих сервисах, доступ к данным других клиентов | Гипервизор, underlay и overlay сети, панель управления, managed-сервисы, изоляция тенантов |
| Kubernetes и контейнеры | Побег из контейнера, компрометация кластера через RBAC и секреты, уязвимые образы | Пентест кластеров, анализ Docker-образов, тестирование оркестраторов, сетевые политики |
| Конфигурации облака | Открытые хранилища, избыточные права, публичные метаданные и ключи | Анализ конфигураций и политик в AWS, Azure, GCP, Yandex Cloud, VK Cloud; модель разделённой ответственности |
| CI/CD и IaC | Компрометация пайплайна, внедрение кода в сборку, секреты в репозиториях и состояниях Terraform | Пентест GitLab, Jenkins, TeamCity; аудит Terraform, CloudFormation и других IaC-инструментов |
| API и сервисная архитектура | Ошибки авторизации между микросервисами, уязвимые service mesh и serverless-функции | API security testing, service mesh security, serverless security |
| Мониторинг и логирование | Атака остаётся незамеченной в распределённой среде | Проверка детектирования в ходе пентеста и red teaming, рекомендации по телеметрии |
Услуги для облаков и телекома
Облачная безопасность, контейнерная безопасность, cloud-native приложения и непрерывная безопасность, включая аутсорс команд AppSec и Red Team.
Пентест облачных платформ и провайдеров, k8s, инфраструктуры в AWS, Azure, GCP, Yandex Cloud и VK Cloud, CI/CD и IaC.
API микросервисов, панели управления облаком, облачные API клиентов.
Аудит IaC (Terraform, CloudFormation), образов и кода cloud-native сервисов.
DevSecOps для облака: безопасность в процессах разработки и развёртывания, сканирование образов и конфигураций.
Мониторинг периметра облачного провайдера и его клиентов платформой EASM.
Непрерывный red teaming и аутсорс функций Red Team для провайдеров и телекомов.
152-ФЗ, 187-ФЗ и КИИ, требования к провайдерам, обрабатывающим данные клиентов.
Специализированные направления: аудит безопасности облака на базе OpenStack или собственной разработки, пентест k8s и Docker-образов, облачный пентест в AWS, Azure, GCP, Yandex Cloud и VK Cloud, аудит безопасности IaC (Terraform, CloudFormation), пентест CI/CD, API security testing, service mesh и serverless security.
Требования и модели, с которыми работаем
Регуляторика для провайдеров задаёт минимум, а договорные обязательства перед клиентами — реальную планку.
- 152-ФЗ
- Защита персональных данных клиентов провайдера и его арендаторов; работы лицензиата ФСТЭК России
- 187-ФЗ и КИИ
- Требования к субъектам критической информационной инфраструктуры в телекоме и ЦОД
- Изоляция тенантов
- Практическая проверка границ между клиентами как главное договорное обязательство облака
- Shared responsibility
- Разграничение проверок между платформой провайдера и конфигурациями клиента
Опыт работы с облаками и телекомами
Мы обеспечиваем оценку защищённости для 5 из 5 крупнейших облачных провайдеров и провели десятки пентестов для cloud-native клиентов.
Облачная экспертиза
Глубокое понимание AWS, Azure, GCP, Yandex Cloud, VK Cloud и платформ на OpenStack: модель разделённой ответственности, конфигурационные ошибки.
Контейнерная безопасность
Специализация на Kubernetes, Docker и оркестраторах: от RBAC и секретов до побега из контейнера.
Cloud-native подход
Понимание микросервисов, API и сервисной архитектуры, service mesh и serverless.
Результаты
Наши специалисты находили критические уязвимости в облачных конфигурациях и помогли предотвратить множество инцидентов.
Из практики
Примеры проектов с облачными платформами и контейнерными технологиями. Названия не раскрываем по условиям NDA.
Облачная платформа
Пентест облачной платформы с виртуальными машинами, managed DB и другими сервисами.
- Пентест underlay и overlay сетей
- Попытки повышения привилегий в сервисах
- Тестирование гипервизора
Вопросы от облачных провайдеров и cloud-native команд
Чем пентест облачного провайдера отличается от пентеста клиента облака?
Провайдеру мы тестируем саму платформу: гипервизор, underlay и overlay сети, панель управления, managed-сервисы и изоляцию между тенантами, пытаясь из арендованной ВМ повысить привилегии или добраться до чужих данных. Клиенту облака проверяем его инфраструктуру и конфигурации в рамках модели разделённой ответственности: права, сети, хранилища, Kubernetes, CI/CD.
Как проверяется изоляция тенантов?
Арендуем ресурсы как обычный клиент и пытаемся выйти за границы своего окружения: побег из ВМ или контейнера, доступ к соседним сетям, метаданным и хранилищам, повышение привилегий через сервисы платформы. Результат — подтверждённые сценарии или подтверждение, что границы держат.
Что входит в пентест Kubernetes?
Анализ RBAC и сервисных аккаунтов, секретов, сетевых политик, admission-контролей, уязвимых образов, попытки побега из контейнера и захвата узла, безопасность оркестратора и сопутствующих компонентов. Тестируем как управляемые, так и собственные кластеры.
Можно ли тестировать облачную инфраструктуру в AWS, Azure или GCP с их стороны?
Да. Проводим тестирование в рамках правил провайдеров, проверяем конфигурации и политики, IAM, хранилища, сетевые сегменты и публичные сервисы; для российских облаков Yandex Cloud и VK Cloud используем те же подходы.
Почему отдельно тестируется CI/CD?
Пайплайн имеет доступ ко всему: коду, секретам, продакшену. Компрометация GitLab, Jenkins или TeamCity даёт злоумышленнику возможность внедрить код в сборку. Мы проверяем доступы, раннеры, секреты, права пайплайнов и состояния IaC.
Какие регуляторные требования актуальны для провайдеров и телекома?
152-ФЗ при обработке персональных данных клиентов, 187-ФЗ для субъектов КИИ, а также договорные требования клиентов к изоляции и защите данных. Работы выполняет лицензиат ФСТЭК России.
Обсудить проект для облака или телекома
Опишите платформу или инфраструктуру: провайдер, оркестрация, CI/CD, число окружений. Предложим состав работ с учётом правил вашего облака и зафиксируем стоимость и сроки в течение одного-двух рабочих дней.
- Почта
- info@deteact.ru
- Телефон
- +7 499 444-12-46
- Офис
- Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
- Лицензия
- ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.