Guide de test de sécurité cloud OWASP

Le Guide de test de sécurité cloud (CSTG) est un manuel complet et neutre vis-à-vis des fournisseurs pour tester la sécurité des environnements cloud. Il est destiné aux testeurs d'intrusion, aux ingénieurs cloud et plateformes, aux architectes sécurité, aux ingénieurs détection et aux auditeurs - toute personne qui doit évaluer ou défendre une infrastructure hébergée chez un grand fournisseur cloud.

Les fournisseurs cloud publient et modifient leurs services plus vite qu'une équipe seule ne peut les suivre, et chaque nouveau service managé apporte son propre modèle d'identité, son exposition réseau et ses vecteurs d'abus. Les méthodologies traditionnelles de test réseau et applicatif ne capturent pas ces risques spécifiques au fournisseur : une politique de bucket S3, un rôle IAM trop permissif, une identité managée attachée à une machine virtuelle ou un bucket de déploiement inscriptible ne sont pas des constats qu'un scan de ports ou un proxy web révéleront. CSTG existe pour combler cette lacune avec une méthodologie de test structurée, reproductible et spécifique au fournisseur.

Ce qui distingue CSTG

Offensif et défensif. Chaque page de technique documente non seulement comment énumérer et exploiter une faiblesse, mais aussi l'empreinte de détection qu'elle laisse dans les journaux du fournisseur et la remédiation concrète qui la corrige. Le guide est aussi utile à une blue team qui durcit un parc qu'à un testeur qui l'attaque.
Sensible au niveau d'accès. Les évaluations cloud dépendent de l'accès accordé au testeur - d'une position externe anonyme, d'un seul identifiant divulgué, d'un rôle d'audit en lecture seule ou d'un principal à privilèges élevés. Chaque page déclare l'accès qu'elle suppose, afin qu'une mission puisse être cadrée sur ce qui est réellement testable avec les identifiants disponibles.
Atomique et structuré. Le contenu est organisé en matrice phase × service par fournisseur, avec une page auto-descriptive par service et phase de test. Cela rend le guide facile à parcourir, à enrichir et à consommer de manière programmatique.
Complet. L'objectif est de documenter l'ensemble complet des techniques réelles pour chaque service - les commandes d'énumération, les mauvaises configurations qui comptent, et les chemins d'élévation de privilèges, de mouvement latéral, de post-exploitation et de persistance qui en découlent.

Comment le guide est organisé

Chaque fournisseur est divisé en phases de test, et au sein de chaque phase, l'unité atomique est une page de service unique :

La frontière la plus nette du guide est le test non authentifié vs authentifié, reflétant la question la plus importante de toute mission cloud : de quel accès disposons-nous au départ ?

Chaque page suit une structure fixe - Résumé, Prérequis, Énumération, Mauvaises configurations et constats, Exploitation, Détection et journalisation, Remédiation et durcissement, Outils, Références - et comporte un frontmatter lisible par machine (fournisseur, service, phase, accès requis, permissions requises). Voir STRUCTURE.md pour le format de rédaction et les définitions des niveaux d'accès.

Guides par fournisseur

Amazon Web Services (AWS)

Identité (IAM/STS), stockage (S3, EBS), calcul (EC2, Lambda, ECS/EKS, ECR), données (RDS, DynamoDB), application et intégration (API Gateway, SNS/SQS, Cognito), infrastructure-as-code (CloudFormation), secrets et clés (Secrets Manager, SSM, KMS), et journalisation/surveillance (CloudTrail).

Microsoft Azure

Identité (Entra ID, RBAC, Managed Identities), stockage (Storage Accounts), calcul (Virtual Machines, AKS), applications (App Service, Functions, Logic Apps), automatisation (Automation Accounts, modèles ARM), secrets et clés (Key Vault), et réseau.

Google Cloud Platform (GCP)

Identité (IAM, Service Accounts), stockage (Cloud Storage), calcul (Compute Engine, GKE, Cloud Run, Cloud Functions), données (Cloud SQL), build et intégration (Cloud Build, Pub/Sub), secrets et clés (Secret Manager, KMS), et pivotement Workspace.

Plateformes applicatives managées (PaaS / BaaS)

Services de plateforme dont le modèle de sécurité repose sur des clés API, des jetons et des contrôles de couche applicative plutôt que sur l'IAM d'infrastructure. Leurs phases sont adaptées en conséquence.

Supabase - le modèle de clés anon vs service_role, l'API PostgREST auto-générée et la sécurité au niveau des lignes (RLS) de PostgreSQL, ainsi que Auth, Storage et Edge Functions.
Vercel - jetons d'accès et rôles d'équipe, secrets de variables d'environnement, protection des déploiements et déploiements d'aperçu, et fonctions serverless / edge.

Utilisation du guide

Déterminez l'accès disponible pour la mission (fournisseur, forme des identifiants, niveau de privilège, périmètre) - cela détermine quelles phases et quelles pages sont concernées.
Parcourez les phases dans l'ordre : comprenez la plateforme, testez la surface externe, puis (avec des identifiants) énumérez, élevez les privilèges, déplacez-vous latéralement et évaluez la post-exploitation et la persistance.
Pour chaque constat, utilisez les sections Détection et journalisation et Remédiation et durcissement pour fournir au propriétaire de l'actif des résultats défensifs exploitables - pas seulement un récit d'attaque.

Autorisation et règles d'engagement. Les tests d'environnements cloud sont soumis aux politiques d'utilisation acceptable et de test d'intrusion de chaque fournisseur. Les actions de déni de service et les actions destructrices sont interdites par défaut sur AWS, Azure et GCP sans approbation préalable. Ne testez toujours que les environnements que vous êtes explicitement autorisé à évaluer, dans le périmètre convenu.

Contribution

CSTG est porté par la communauté. Les nouvelles pages de services, les techniques supplémentaires, les corrections et la couverture de fournisseurs sont toutes les bienvenues - voir STRUCTURE.md pour le format des pages et les modèles de tickets dans .github/ISSUE_TEMPLATE/. Toutes les contributions sont sous licence CC BY-SA 4.0.

Responsables du projet

Licence

Cette œuvre est sous licence Creative Commons Attribution - Partage dans les Mêmes Conditions 4.0 International.

Informations de base	Comment fonctionne le modèle d'identité, d'accès et de ressources de ce fournisseur ?
Non authentifié / Externe	Qu'est-ce qui est exposé à un attaquant sans identifiants ?
Services (Énumération)	Avec des identifiants valides, qu'est-ce qui est déployé et comment est-ce configuré ?
Élévation de privilèges	Comment un principal à faibles privilèges peut-il obtenir plus d'accès ?
Mouvement latéral	Comment l'accès se déplace-t-il entre les services, les comptes ou vers l'on-premise ?
Post-exploitation	Que peut faire un attaquant avec l'accès obtenu ?
Persistance	Comment un accès durable est-il établi et dissimulé ?

Populaires

owasp-cstg