Pentest Cloud AWS, Azure e GCP
Pentest cloud é o teste de invasão do seu ambiente em nuvem — AWS, Azure e GCP — que explora falhas de IAM, exposição de storage, misconfigurations, segredos em pipelines de CI/CD e containers/Kubernetes para provar, com evidências, o que um atacante alcançaria a partir da sua conta.
O que é um pentest em nuvem
O pentest em nuvem avalia a segurança de um ambiente hospedado em provedores como AWS, Azure e Google Cloud sob a ótica de um atacante real. Diferente de um pentest tradicional de rede, o foco está no plano de controle da nuvem — identidades, permissões, políticas, chaves e a forma como os serviços gerenciados são configurados — e não apenas nos sistemas operacionais e aplicações que rodam dentro dela.
Sob o modelo de responsabilidade compartilhada, o provedor protege a infraestrutura, mas a configuração das identidades, dos buckets, das redes e dos pipelines é do cliente. É exatamente nessa camada que ocorre a maioria dos incidentes em nuvem. A Berghem combina enumeração automatizada com exploração manual para transformar configurações inseguras em cenários de ataque concretos, com caminho de escalonamento reproduzível e recomendações priorizadas por impacto.
Para instituições reguladas, o escopo de nuvem também precisa atender às exigências setoriais — incluindo as resoluções do BACEN/CMN sobre segurança cibernética e computação em nuvem. Estruturamos o teste para gerar evidências úteis ao seu processo de conformidade.
O que está incluso
O que testamos em um pentest cloud
Cobrimos o plano de controle e o plano de dados da nuvem. Cada domínio abaixo é enumerado, validado manualmente e encadeado em caminhos de ataque que demonstram o impacto real — nunca apenas o achado isolado de uma ferramenta.
IAM e escalonamento de privilégios
Analisamos usuários, roles, grupos e policies em busca de permissões excessivas, políticas permissivas demais, confiança entre contas mal configurada e caminhos de escalonamento. Mapeamos como uma credencial de baixo privilégio pode chegar a administrador da conta explorando ações como iam:PassRole, assunção de roles e federação mal desenhada.
Exposição de storage
Buckets e blobs públicos ou com ACLs frouxas são uma das principais causas de vazamento em nuvem. Verificamos S3, Azure Blob Storage e Google Cloud Storage quanto a acesso anônimo, listagem indevida, políticas públicas, versionamento sem proteção e dados sensíveis expostos, incluindo snapshots e backups esquecidos.
Misconfigurations de serviços
Serviços gerenciados mal configurados abrem a porta para o atacante. Revisamos security groups e firewalls abertos, bancos de dados acessíveis pela internet, funções serverless com permissões amplas, chaves de KMS mal gerenciadas, logging desabilitado e metadados de instância expostos a SSRF.
Segredos em CI/CD e IaC
Pipelines e repositórios frequentemente guardam chaves de acesso, tokens e credenciais em variáveis, logs e arquivos de Infrastructure as Code. Procuramos segredos vazados, permissões excessivas de runners e service accounts de pipeline, e OIDC mal configurado — vetores que permitem pular direto para dentro da nuvem de produção.
Containers e Kubernetes
Avaliamos imagens vulneráveis, registries expostos, RBAC permissivo, pods privilegiados, service accounts com tokens montados e caminhos de fuga de container. Em clusters gerenciados (EKS, AKS, GKE) verificamos a integração entre a identidade do Kubernetes e a IAM da nuvem, um vetor comum de escalonamento.
Rede e superfície externa
Enumeramos a superfície externa exposta pela nuvem — endpoints, balanceadores, APIs de gerenciamento e ativos publicados — e testamos segmentação, VPCs, peering e rotas. O objetivo é identificar o que está alcançável a partir da internet e como isso conecta um acesso inicial ao restante do ambiente.
Cobertura por plataforma
Cada provedor tem seu próprio modelo de identidade e seus serviços gerenciados. Adaptamos a metodologia às particularidades de cada nuvem, seja um ambiente único ou multi-cloud.
Pentest AWS
Teste de invasão AWS com foco em IAM, STS e assunção de roles, buckets S3, funções Lambda, metadados EC2 (IMDS), EKS e chaves KMS. Mapeamos caminhos de escalonamento e movimento lateral entre contas de uma AWS Organization.
Pentest Azure
Avaliação de Azure e Entra ID (Azure AD): roles e RBAC, service principals e managed identities, Azure Blob Storage, Key Vault, Functions e AKS. Analisamos as fronteiras entre o tenant de identidade e as subscriptions de recursos.
Pentest GCP
Teste de invasão em Google Cloud com foco em IAM e service accounts, impersonação e geração de tokens, Cloud Storage, Cloud Functions, GKE e segredos no Secret Manager. Verificamos herança de permissões pela hierarquia de organização, pastas e projetos.
Como conduzimos o teste
Trabalhamos com regras de engajamento acordadas e um canal seguro com o cliente do início ao fim. O teste pode partir de uma perspectiva externa (sem credenciais) ou assumir uma identidade de baixo privilégio para medir o raio de impacto de uma credencial comprometida.
Escopo e regras de engajamento
Definimos contas, assinaturas e projetos em escopo, o modelo de teste (externo ou com credencial assumida), janelas e limites. Alinhamos autorização com o provedor quando aplicável e combinamos os objetivos do exercício.
Enumeração e mapeamento
Levantamos identidades, permissões, serviços e ativos expostos com ferramentas de enumeração e revisão manual. Construímos o grafo de relações entre identidades e recursos para localizar os caminhos de escalonamento mais promissores.
Exploração e escalonamento
Exploramos configurações inseguras de forma controlada — escalonamento de privilégios, acesso a dados, movimento lateral entre serviços e contas — encadeando falhas em cenários de ataque completos e sempre preservando a estabilidade do ambiente.
Relatório e remediação
Entregamos cada achado com prova de conceito, evidência, classificação de severidade e recomendação de correção priorizada por impacto. Fazemos a apresentação técnica e oferecemos reteste para validar as correções aplicadas.
Serviços relacionados
Pentest em nuvem costuma andar junto de outras frentes de segurança ofensiva e de desenvolvimento seguro.
Pentest de Rede
Teste de invasão de infraestrutura interna e externa — complementa o escopo de nuvem cobrindo a rede corporativa e híbrida.
Pentest de API
As aplicações em nuvem expõem APIs. Testamos autenticação, autorização e lógica de negócio das suas interfaces REST e GraphQL.
DevSecOps
Integração de segurança ao pipeline de CI/CD e ao Infrastructure as Code — corrige na origem as falhas encontradas no pentest cloud.
Offensive Security
Visão geral do pilar de segurança ofensiva da Berghem: pentest, Red Team e simulação de adversários.
Perguntas frequentes sobre pentest cloud
Qual a diferença entre pentest cloud e pentest de rede tradicional?
Preciso de autorização do provedor de nuvem para o teste?
O teste é feito de fora ou com credenciais da nuvem?
O pentest cloud atende requisitos de conformidade?
Pronto para testar sua nuvem?
Em uma conversa de 30 minutos mapeamos seu ambiente em AWS, Azure ou GCP e desenhamos o escopo ideal do pentest cloud.
Fale com um especialista