OWASP Cloud Security Testing Guide

Der Cloud Security Testing Guide (CSTG) ist ein umfassendes, anbieterneutrales Handbuch zum Testen der Sicherheit von Cloud-Umgebungen. Es richtet sich an Penetrationstester, Cloud- und Plattformingenieure, Sicherheitsarchitekten, Detection-Engineers und Auditoren – an alle, die auf einem großen Cloud-Anbieter betriebene Infrastruktur bewerten oder verteidigen müssen.

Cloud-Anbieter veröffentlichen und verändern Dienste schneller, als ein einzelnes Team sie verfolgen kann, und jeder neue verwaltete Dienst bringt sein eigenes Identitätsmodell, seine eigene Netzwerkexposition und eigene Missbrauchspfade mit sich. Herkömmliche Netzwerk- und Anwendungstestmethoden erfassen diese anbieterspezifischen Risiken nicht: eine S3-Bucket-Richtlinie, eine überprivilegierte IAM-Rolle, eine an eine virtuelle Maschine gebundene verwaltete Identität oder ein beschreibbarer Deployment-Bucket sind keine Befunde, die ein Portscan oder ein Web-Proxy aufdeckt. CSTG dient dazu, diese Lücke mit einer strukturierten, wiederholbaren, anbieterspezifischen Testmethodik zu schließen.

Was CSTG auszeichnet

• Offensiv und defensiv. Jede Technikseite dokumentiert nicht nur, wie eine Schwachstelle enumeriert und ausgenutzt wird, sondern auch den Erkennungs-Fußabdruck, den sie in den Logs des Anbieters hinterlässt, sowie die konkrete Behebung (Remediation), die sie schließt. Der Leitfaden ist für ein Blue Team, das eine Umgebung härtet, ebenso nützlich wie für einen Tester, der sie angreift.
• Zugriffsbewusst. Cloud-Assessments werden durch den Zugriff bestimmt, der dem Tester gewährt wird – von einer anonymen externen Position über ein einziges geleaktes Credential bis hin zu einer schreibgeschützten Audit-Rolle oder einem privilegierten Principal. Jede Seite deklariert den Zugriff, den sie voraussetzt, sodass ein Engagement auf das eingegrenzt werden kann, was mit den verfügbaren Zugangsdaten tatsächlich testbar ist.
• Atomar und strukturiert. Der Inhalt ist je Anbieter als Phase-×-Dienst-Matrix organisiert, mit einer selbsterklärenden Seite pro Dienst und Testphase. Das macht den Leitfaden leicht navigierbar, leicht erweiterbar und programmatisch nutzbar.
• Umfassend. Ziel ist es, den vollständigen, praxisnahen Techniksatz für jeden Dienst zu dokumentieren – die Enumerationsbefehle, die relevanten Fehlkonfigurationen sowie die darauf folgenden Privilege-Escalation-, Lateral-Movement-, Post-Exploitation- und Persistence-Pfade.

Wie der Leitfaden aufgebaut ist

Jeder Anbieter ist in Testphasen unterteilt, und innerhalb jeder Phase ist die atomare Einheit eine einzelne Dienst-Seite:

Die schärfste Grenze im Leitfaden verläuft zwischen unauthentifizierten und authentifizierten Tests – sie spiegelt die wichtigste Frage eines jeden Cloud-Engagements wider: über welchen Zugriff verfügen wir von vornherein?

Jede Seite folgt einer festen Struktur – Summary, Prerequisites, Enumeration, Misconfigurations & Findings, Exploitation, Detection & Logging, Remediation & Hardening, Tools, References – und trägt maschinenlesbares Frontmatter (Provider, Service, Phase, erforderlicher Zugriff, erforderliche Berechtigungen). Siehe STRUCTURE.md für das Autorenformat und die Definitionen der Zugriffsstufen.

Anbieter-Leitfäden

Amazon Web Services (AWS)

Identität (IAM/STS), Speicher (S3, EBS), Compute (EC2, Lambda, ECS/EKS, ECR), Daten (RDS, DynamoDB), Anwendungen und Integration (API Gateway, SNS/SQS, Cognito), Infrastructure-as-Code (CloudFormation), Secrets und Schlüssel (Secrets Manager, SSM, KMS) sowie Protokollierung/Überwachung (CloudTrail).

Microsoft Azure

Identität (Entra ID, RBAC, Managed Identities), Speicher (Storage Accounts), Compute (Virtual Machines, AKS), Anwendungen (App Service, Functions, Logic Apps), Automatisierung (Automation Accounts, ARM-Vorlagen), Secrets und Schlüssel (Key Vault) sowie Netzwerk.

Google Cloud Platform (GCP)

Identität (IAM, Service Accounts), Speicher (Cloud Storage), Compute (Compute Engine, GKE, Cloud Run, Cloud Functions), Daten (Cloud SQL), Build und Integration (Cloud Build, Pub/Sub), Secrets und Schlüssel (Secret Manager, KMS) sowie Workspace-Pivoting.

Verwaltete Anwendungsplattformen (PaaS / BaaS)

Plattformdienste, deren Sicherheitsmodell auf API-Schlüsseln, Tokens und Kontrollen auf Anwendungsebene basiert und nicht auf Infrastruktur-IAM. Ihre Phasen sind entsprechend angepasst.

• Supabase – das Schlüsselmodell anon vs. service_role, die automatisch generierte PostgREST-API und PostgreSQL Row Level Security (RLS) sowie Auth, Storage und Edge Functions.
• Vercel – Zugriffstokens und Teamrollen, Secrets in Umgebungsvariablen, Deployment-Schutz und Preview-Deployments sowie Serverless-/Edge-Funktionen.

Verwendung des Leitfadens

1. Ermitteln Sie den für das Engagement verfügbaren Zugriff (Anbieter, Form der Zugangsdaten, Berechtigungsstufe, Umfang) – das bestimmt, welche Phasen und Seiten relevant sind.
2. Arbeiten Sie die Phasen der Reihe nach ab: Verstehen Sie die Plattform, testen Sie die externe Angriffsfläche und führen Sie dann (mit Zugangsdaten) Enumeration, Privilege Escalation, Lateral Movement sowie die Bewertung von Post-Exploitation und Persistence durch.
3. Nutzen Sie für jeden Befund die Abschnitte Detection & Logging und Remediation & Hardening, um dem Asset-Eigentümer umsetzbare, defensive Ergebnisse zu liefern – nicht nur eine Angriffsdarstellung.

Autorisierung und Rules of Engagement. Das Testen von Cloud-Umgebungen unterliegt den Acceptable-Use- und Penetrationstest-Richtlinien des jeweiligen Anbieters. Denial-of-Service- und destruktive Aktionen sind bei AWS, Azure und GCP ohne vorherige Genehmigung standardmäßig untersagt. Testen Sie immer nur Umgebungen, zu deren Bewertung Sie im vereinbarten Umfang ausdrücklich autorisiert sind.

Mitwirken

CSTG wird von der Community getragen. Neue Dienstseiten, zusätzliche Techniken, Korrekturen und die Abdeckung weiterer Anbieter sind willkommen – siehe STRUCTURE.md für das Seitenformat und die Issue-Vorlagen unter .github/ISSUE_TEMPLATE/. Alle Beiträge sind unter CC BY-SA 4.0 lizenziert.

Projektleitung

• Stefano Di Paola
• Jamieson O'Reilly

Lizenz

Dieses Werk ist lizenziert unter einer Creative Commons Attribution-ShareAlike 4.0 International License.