Pentest Cloud AWS, Azure e GCP
Un pentest cloud è il penetration test del vostro ambiente in cloud — AWS, Azure e GCP — che sfrutta falle di IAM, esposizione dello storage, misconfiguration, segreti nelle pipeline CI/CD e container/Kubernetes per dimostrare, con evidenze, cosa un attaccante potrebbe raggiungere partendo dal vostro account.
Cos'è un pentest in cloud
Il pentest in cloud valuta la sicurezza di un ambiente ospitato su provider come AWS, Azure e Google Cloud dal punto di vista di un attaccante reale. A differenza di un pentest di rete tradizionale, il focus è sul control plane del cloud — identità, permessi, policy, chiavi e come sono configurati i servizi gestiti — non solo sui sistemi operativi e sulle applicazioni che vi girano.
Nel modello di responsabilità condivisa il provider protegge l'infrastruttura, ma la configurazione di identità, bucket, reti e pipeline è del cliente. È esattamente quel livello in cui avviene la maggior parte degli incidenti cloud. Berghem combina enumerazione automatizzata ed exploitation manuale per trasformare configurazioni insicure in scenari d'attacco concreti, con un percorso di escalation riproducibile e raccomandazioni prioritizzate per impatto.
Per le istituzioni regolamentate, l'ambito cloud deve soddisfare anche i requisiti di settore — incluse le risoluzioni BACEN/CMN su sicurezza informatica e cloud computing. Strutturiamo il test per produrre evidenze utili al vostro processo di conformità.
Cosa include
Cosa testiamo in un pentest cloud
Copriamo il control plane e il data plane del cloud. Ogni dominio viene enumerato, validato manualmente e concatenato in percorsi d'attacco che dimostrano l'impatto reale — mai solo il singolo risultato di uno strumento.
IAM ed escalation dei privilegi
Analizziamo utenti, ruoli, gruppi e policy alla ricerca di permessi eccessivi, policy troppo permissive, trust tra account mal configurato e percorsi di escalation. Mappiamo come una credenziale a basso privilegio può arrivare ad amministratore dell'account abusando di azioni come iam:PassRole e l'assunzione di ruoli.
Esposizione dello storage
Bucket e blob pubblici o con ACL permissive sono tra le principali cause di leak in cloud. Verifichiamo S3, Azure Blob Storage e Google Cloud Storage rispetto ad accesso anonimo, listing indebito, policy pubbliche, versioning senza protezione e dati sensibili esposti, inclusi snapshot e backup dimenticati.
Misconfiguration dei servizi
Servizi gestiti mal configurati aprono la porta all'attaccante. Rivediamo security group e firewall aperti, database raggiungibili da internet, funzioni serverless con permessi ampi, chiavi KMS gestite male, logging disabilitato e metadati d'istanza esposti a SSRF.
Segreti in CI/CD e IaC
Pipeline e repository spesso conservano chiavi d'accesso, token e credenziali in variabili, log e file di Infrastructure as Code. Cerchiamo segreti trapelati, permessi eccessivi di runner e service account di pipeline, e OIDC mal configurato — vettori che saltano dritti nel cloud di produzione.
Container e Kubernetes
Valutiamo immagini vulnerabili, registry esposti, RBAC permissivo, pod privilegiati, service account con token montati e percorsi di container escape. Nei cluster gestiti (EKS, AKS, GKE) verifichiamo l'integrazione tra l'identità Kubernetes e la IAM del cloud, un vettore comune di escalation.
Rete e superficie esterna
Enumeriamo la superficie esterna esposta dal cloud — endpoint, load balancer, API di gestione e asset pubblicati — e testiamo segmentazione, VPC, peering e rotte. L'obiettivo è identificare cosa è raggiungibile da internet e come collega un accesso iniziale al resto dell'ambiente.
Copertura per piattaforma
Ogni provider ha il proprio modello di identità e i propri servizi gestiti. Adattiamo la metodologia alle specificità di ogni cloud, sia un ambiente singolo sia multi-cloud.
Pentest AWS
Penetration test AWS con focus su IAM, STS e assunzione di ruoli, bucket S3, funzioni Lambda, metadati EC2 (IMDS), EKS e chiavi KMS. Mappiamo percorsi di escalation e movimento laterale tra account di una AWS Organization.
Pentest Azure
Valutazione di Azure ed Entra ID (Azure AD): ruoli e RBAC, service principal e managed identity, Azure Blob Storage, Key Vault, Functions e AKS. Analizziamo i confini tra il tenant di identità e le subscription di risorse.
Pentest GCP
Penetration test in Google Cloud con focus su IAM e service account, impersonation e generazione di token, Cloud Storage, Cloud Functions, GKE e segreti in Secret Manager. Verifichiamo l'ereditarietà dei permessi lungo la gerarchia di organizzazione, cartelle e progetti.
Come conduciamo il test
Lavoriamo con regole d'ingaggio concordate e un canale sicuro con il cliente dall'inizio alla fine. Il test può partire da una prospettiva esterna (senza credenziali) o assumere un'identità a basso privilegio per misurare il raggio d'impatto di una credenziale compromessa.
Ambito e regole d'ingaggio
Definiamo account, subscription e progetti in ambito, il modello di test (esterno o con credenziale assunta), finestre e limiti. Allineiamo l'autorizzazione con il provider quando applicabile e concordiamo gli obiettivi dell'esercizio.
Enumerazione e mapping
Inventariamo identità, permessi, servizi e asset esposti con strumenti di enumerazione e revisione manuale. Costruiamo il grafo delle relazioni tra identità e risorse per individuare i percorsi di escalation più promettenti.
Exploitation ed escalation
Sfruttiamo configurazioni insicure in modo controllato — escalation dei privilegi, accesso ai dati, movimento laterale tra servizi e account — concatenando le falle in scenari d'attacco completi e preservando la stabilità dell'ambiente.
Report e remediation
Consegniamo ogni finding con proof of concept, evidenza, classificazione di severità e remediation prioritizzata per impatto. Facciamo la presentazione tecnica e offriamo un retest per validare le correzioni applicate.
Servizi correlati
Il pentest in cloud si accompagna di solito ad altri fronti di sicurezza offensiva e sviluppo sicuro.
Pentest di Rete
Penetration test di infrastruttura interna ed esterna — completa l'ambito cloud coprendo la rete aziendale e ibrida.
Pentest di API
Le applicazioni cloud espongono API. Testiamo autenticazione, autorizzazione e logica di business delle vostre interfacce REST e GraphQL.
DevSecOps
Sicurezza integrata nella pipeline CI/CD e nell'Infrastructure as Code — corregge all'origine le falle trovate nel pentest cloud.
Offensive Security
Panoramica del pilastro di sicurezza offensiva di Berghem: pentest, Red Team e simulazione di avversari.
Domande frequenti sul pentest cloud
Qual è la differenza tra pentest cloud e pentest di rete tradizionale?
Serve l'autorizzazione del provider cloud per il test?
Il test è condotto dall'esterno o con credenziali cloud?
Il pentest cloud soddisfa i requisiti di conformità?
Pronti a testare il vostro cloud?
In una conversazione di 30 minuti mappiamo il vostro ambiente su AWS, Azure o GCP e progettiamo l'ambito ideale del pentest cloud.
Parla con uno specialista