OWASP クラウドセキュリティテストガイド

Cloud Security Testing Guide (CSTG) は、クラウド環境のセキュリティテストを行うためのベンダーに依存しない包括的なマニュアルです。ペネトレーションテスター、クラウドおよびプラットフォームエンジニア、セキュリティアーキテクト、検知エンジニア、監査担当者など、主要なクラウドプロバイダー上で稼働するインフラストラクチャを評価または防御する必要があるすべての人のために作成されています。

クラウドプロバイダーは、どの単一チームも追跡できない速さでサービスをリリースおよび変更しており、新しいマネージドサービスにはそれぞれ独自のIDモデル、ネットワーク露出、悪用経路があります。従来のネットワークテストやアプリケーションテストの手法では、これらのプロバイダー固有のリスク（S3バケットポリシー、過剰な権限を持つIAMロール、仮想マシンにアタッチされたマネージドID、書き込み可能なデプロイメントバケットなど）を捉えることはできません。ポートスキャンやWebプロキシでは表面化しないこれらの問題を、構造化され、再現可能で、プロバイダー固有のテスト手法で埋めるためにCSTGが存在します。

CSTGの特長

• 攻撃的かつ防御的。 すべてのテクニックページでは、脆弱性の列挙方法と悪用方法だけでなく、それがプロバイダーのログに残す検知フットプリントと、それを塞ぐ具体的な修復方法も文書化されています。このガイドは、環境を強化するブルーチームにとっても、攻撃するテスターにとっても有用です。
• アクセスを認識。 クラウド評価は、テスターに与えられるアクセス（匿名の外部、単一の漏洩した認証情報、読み取り専用の監査ロール、昇格されたプリンシパルなど）によって制限されます。各ページでは想定するアクセスを明示しているため、実際に利用可能な認証情報でテスト可能な範囲にエンゲージメントをスコープできます。
• アトミックで構造化。 コンテンツはプロバイダーごとにフェーズ×サービス行列として整理され、サービスとテストフェーズごとに自己完結型の1ページが割り当てられています。これにより、ガイドのナビゲーション、貢献、プログラム的な利用が容易になります。
• 包括的。 目標は、各サービスに関する実際のテクニック一式（列挙コマンド、重要となる設定ミス、およびそれに続く権限昇格、水平移動、ポストエクスプロイテーション、永続化の経路）を文書化することです。

ガイドの構成

各プロバイダーはテストフェーズに分割され、各フェーズ内の最小単位は単一のサービスページです。

ガイドの中で最も明確な境界は非認証と認証のテストです。これはクラウドエンゲージメントにおいて最も重要な問いを反映しています：私たちは最初にどのようなアクセスを持っているのか？

各ページは固定の構造（概要、前提条件、列挙、設定ミスと発見事項、悪用、検知とロギング、修復と堅牢化、ツール、参考資料）に従い、マシン可読なフロントマター（プロバイダー、サービス、フェーズ、必要なアクセス、必要な権限）を持ちます。作成形式とアクセス階層の定義についてはSTRUCTURE.mdを参照してください。

プロバイダーガイド

Amazon Web Services (AWS)

ID（IAM/STS）、ストレージ（S3、EBS）、コンピュート（EC2、Lambda、ECS/EKS、ECR）、データ（RDS、DynamoDB）、アプリケーションと統合（API Gateway、SNS/SQS、Cognito）、Infrastructure as Code（CloudFormation）、シークレットとキー（Secrets Manager、SSM、KMS）、ロギングと監視（CloudTrail）。

Microsoft Azure

ID（Entra ID、RBAC、マネージドID）、ストレージ（ストレージアカウント）、コンピュート（Virtual Machines、AKS）、アプリケーション（App Service、Functions、Logic Apps）、自動化（Automation Accounts、ARMテンプレート）、シークレットとキー（Key Vault）、ネットワーキング。

Google Cloud Platform (GCP)

ID（IAM、サービスアカウント）、ストレージ（Cloud Storage）、コンピュート（Compute Engine、GKE、Cloud Run、Cloud Functions）、データ（Cloud SQL）、ビルドと統合（Cloud Build、Pub/Sub）、シークレットとキー（Secret Manager、KMS）、Workspaceピボット。

マネージドアプリケーションプラットフォーム（PaaS / BaaS）

セキュリティモデルがインフラストラクチャIAMではなく、APIキー、トークン、アプリケーション層の制御に基づくプラットフォームサービス。フェーズもそれに応じて調整されています。

• Supabase - anon と service_role キーモデル、自動生成される PostgREST API、PostgreSQL Row Level Security (RLS)、Auth、Storage、Edge Functions。
• Vercel - アクセストークンとチームロール、環境変数シークレット、デプロイメント保護とプレビューデプロイ、サーバーレス/エッジ関数。

ガイドの使い方

1. エンゲージメントで利用可能なアクセス（プロバイダー、認証情報の形式、権限レベル、スコープ）を確立します。これにより、どのフェーズとページが対象となるかが決まります。
2. フェーズを順に進めます：プラットフォームを理解し、外部サーフェスをテストし、次に（認証情報を使って）列挙、昇格、水平移動、ポストエクスプロイテーションと永続化を評価します。
3. 発見事項ごとに、検知とロギングおよび修復と堅牢化のセクションを使用して、攻撃のストーリーだけでなく、資産所有者にとって実用的で防御的な出力を提供します。

許可とエンゲージメントルール。 クラウド環境のテストは、各プロバイダーの利用規約とペネトレーションテストポリシーの対象となります。AWS、Azure、GCPでは、事前の承認なしにサービス拒否攻撃や破壊的な行為はデフォルトで禁止されています。常に、明示的に評価を許可された環境のみを、合意された範囲内でテストしてください。

貢献

CSTGはコミュニティ主導です。新しいサービスページ、追加のテクニック、修正、プロバイダーカバレッジの拡大など、すべての貢献を歓迎します。ページ形式についてはSTRUCTURE.mdを、イシューテンプレートは.github/ISSUE_TEMPLATE/を参照してください。すべての貢献はCC BY-SA 4.0の下でライセンスされます。

プロジェクトリーダー

• Stefano Di Paola
• Jamieson O'Reilly

ライセンス

この作品はCreative Commons Attribution-ShareAlike 4.0 International Licenseの下でライセンスされています。