Pentest Cloud AWS, Azure y GCP
Un pentest cloud es el test de invasión de su entorno en la nube — AWS, Azure y GCP — que explota fallos de IAM, exposición de storage, misconfigurations, secretos en pipelines de CI/CD y contenedores/Kubernetes para probar, con evidencias, qué alcanzaría un atacante desde su cuenta.
Qué es un pentest en la nube
El pentest en la nube evalúa la seguridad de un entorno alojado en proveedores como AWS, Azure y Google Cloud desde la óptica de un atacante real. A diferencia de un pentest tradicional de red, el foco está en el plano de control de la nube — identidades, permisos, políticas, claves y cómo se configuran los servicios gestionados — y no solo en los sistemas operativos y aplicaciones que corren dentro.
Bajo el modelo de responsabilidad compartida, el proveedor protege la infraestructura, pero la configuración de identidades, buckets, redes y pipelines es del cliente. Es justo esa capa donde ocurren la mayoría de los incidentes en la nube. Berghem combina enumeración automatizada con explotación manual para convertir configuraciones inseguras en escenarios de ataque concretos, con una ruta de escalada reproducible y recomendaciones priorizadas por impacto.
Para instituciones reguladas, el alcance en la nube también debe cumplir requisitos sectoriales — incluyendo las resoluciones del BACEN/CMN sobre seguridad cibernética y computación en la nube. Estructuramos el test para generar evidencias útiles a su proceso de conformidad.
Qué incluye
Qué probamos en un pentest cloud
Cubrimos el plano de control y el plano de datos de la nube. Cada dominio se enumera, se valida manualmente y se encadena en rutas de ataque que demuestran el impacto real — nunca solo el hallazgo aislado de una herramienta.
IAM y escalada de privilegios
Analizamos usuarios, roles, grupos y policies en busca de permisos excesivos, políticas demasiado permisivas, confianza entre cuentas mal configurada y rutas de escalada. Mapeamos cómo una credencial de bajo privilegio puede llegar a administrador de la cuenta abusando de acciones como iam:PassRole y la asunción de roles.
Exposición de storage
Buckets y blobs públicos o con ACLs laxas son una de las principales causas de fuga en la nube. Verificamos S3, Azure Blob Storage y Google Cloud Storage en cuanto a acceso anónimo, listado indebido, políticas públicas, versionado sin protección y datos sensibles expuestos, incluidos snapshots y backups olvidados.
Misconfigurations de servicios
Servicios gestionados mal configurados abren la puerta al atacante. Revisamos security groups y firewalls abiertos, bases de datos accesibles desde internet, funciones serverless con permisos amplios, claves KMS mal gestionadas, logging deshabilitado y metadatos de instancia expuestos a SSRF.
Secretos en CI/CD e IaC
Los pipelines y repositorios suelen guardar claves de acceso, tokens y credenciales en variables, logs y archivos de Infrastructure as Code. Buscamos secretos filtrados, permisos excesivos de runners y service accounts de pipeline, y OIDC mal configurado — vectores que saltan directo a la nube de producción.
Contenedores y Kubernetes
Evaluamos imágenes vulnerables, registries expuestos, RBAC permisivo, pods privilegiados, service accounts con tokens montados y rutas de fuga de contenedor. En clústeres gestionados (EKS, AKS, GKE) verificamos la integración entre la identidad de Kubernetes y la IAM de la nube, un vector común de escalada.
Red y superficie externa
Enumeramos la superficie externa expuesta por la nube — endpoints, balanceadores, APIs de gestión y activos publicados — y probamos segmentación, VPCs, peering y rutas. El objetivo es identificar qué es alcanzable desde internet y cómo conecta un acceso inicial con el resto del entorno.
Cobertura por plataforma
Cada proveedor tiene su propio modelo de identidad y sus servicios gestionados. Adaptamos la metodología a las particularidades de cada nube, ya sea un entorno único o multi-cloud.
Pentest AWS
Test de invasión AWS con foco en IAM, STS y asunción de roles, buckets S3, funciones Lambda, metadatos EC2 (IMDS), EKS y claves KMS. Mapeamos rutas de escalada y movimiento lateral entre cuentas de una AWS Organization.
Pentest Azure
Evaluación de Azure y Entra ID (Azure AD): roles y RBAC, service principals y managed identities, Azure Blob Storage, Key Vault, Functions y AKS. Analizamos las fronteras entre el tenant de identidad y las subscriptions de recursos.
Pentest GCP
Test de invasión en Google Cloud con foco en IAM y service accounts, impersonación y generación de tokens, Cloud Storage, Cloud Functions, GKE y secretos en Secret Manager. Verificamos la herencia de permisos por la jerarquía de organización, carpetas y proyectos.
Cómo hacemos el test
Trabajamos con reglas de enfrentamiento acordadas y un canal seguro con el cliente de principio a fin. El test puede partir de una perspectiva externa (sin credenciales) o asumir una identidad de bajo privilegio para medir el radio de impacto de una credencial comprometida.
Alcance y reglas de enfrentamiento
Definimos cuentas, suscripciones y proyectos en alcance, el modelo de test (externo o con credencial asumida), ventanas y límites. Alineamos la autorización con el proveedor cuando aplica y acordamos los objetivos del ejercicio.
Enumeración y mapeo
Inventariamos identidades, permisos, servicios y activos expuestos con herramientas de enumeración y revisión manual. Construimos el grafo de relaciones entre identidades y recursos para ubicar las rutas de escalada más prometedoras.
Explotación y escalada
Explotamos configuraciones inseguras de forma controlada — escalada de privilegios, acceso a datos, movimiento lateral entre servicios y cuentas — encadenando fallos en escenarios de ataque completos y preservando la estabilidad del entorno.
Informe y remediación
Entregamos cada hallazgo con prueba de concepto, evidencia, clasificación de severidad y recomendación priorizada por impacto. Hacemos la presentación técnica y ofrecemos retest para validar las correcciones aplicadas.
Servicios relacionados
El pentest en la nube suele acompañarse de otros frentes de seguridad ofensiva y desarrollo seguro.
Pentest de Red
Test de invasión de infraestructura interna y externa — complementa el alcance en la nube cubriendo la red corporativa e híbrida.
Pentest de API
Las aplicaciones en la nube exponen APIs. Probamos autenticación, autorización y lógica de negocio de sus interfaces REST y GraphQL.
DevSecOps
Seguridad integrada al pipeline de CI/CD y al Infrastructure as Code — corrige en el origen los fallos hallados en el pentest cloud.
Offensive Security
Visión general del pilar de seguridad ofensiva de Berghem: pentest, Red Team y simulación de adversarios.
Preguntas frecuentes sobre pentest cloud
¿Cuál es la diferencia entre pentest cloud y pentest de red tradicional?
¿Necesito autorización del proveedor de nube para el test?
¿El test se hace desde fuera o con credenciales de la nube?
¿El pentest cloud cumple requisitos de conformidad?
¿Listo para probar su nube?
En una conversación de 30 minutos mapeamos su entorno en AWS, Azure o GCP y diseñamos el alcance ideal del pentest cloud.
Hable con un especialista