Cloud Pentesting क्या है?

Cloud Pentesting क्या है? - Cloud Pentesting Cloud System के लिए सुरक्षा परीक्षण पद्धति है। इसमें संभावित कमजोरियों के लिए Cloud System का सक्रिय विश्लेषण शामिल है जो Hardware या Software दोषों, संसाधनों को साझा करने, सिस्टम गलत Configuration, परिचालन कमजोरियों और अन्य के परिणामस्वरूप हो सकता है।

ब्लैक बॉक्स पेन परीक्षण (अर्थात क्लाउड प्रशासकों के पूर्व ज्ञान के बिना Cloud Infrastructure का परीक्षण) क्लाउड सेवा प्रदाता की सुरक्षा स्थिति का आकलन करने का सबसे प्रभावी तरीका है।

यह खंड क्लाउड पेन परीक्षण, क्लाउड में पेंटिंग के लिए महत्वपूर्ण विचार, क्लाउड पेन परीक्षण का दायरा, क्लाउड पेन-परीक्षण पद्धति, और क्लाउड परीक्षण के लिए अनुशंसाओं से संबंधित है।

 

What is Cloud Pen Testing?

Cloud Pen Testing एक दुर्भावनापूर्ण स्रोत से हमले का अनुकरण करके Cloud System की सुरक्षा का सक्रिय रूप से मूल्यांकन करने की एक विधि है। कमजोरियों की उपस्थिति और उनके द्वारा उत्पन्न जोखिमों को निर्धारित करने के लिए Cloud की सुरक्षा स्थिति की नियमित रूप से निगरानी की जानी चाहिए। Cloud सुरक्षा Cloud प्रदाता और Client दोनों की साझा जिम्मेदारी पर आधारित है।

Cloud को पेंट करना उसके द्वारा होस्ट किए जाने वाले डेटा की गोपनीयता, अखंडता और सुरक्षा सुनिश्चित करता है। किसी भी संगठन को, उसके आकार की परवाह किए बिना, यह सुनिश्चित करने की आवश्यकता है कि उसकी सभी सूचना संपत्तियां Audit योग्य हैं, उद्योग के नियमों का पालन करती हैं और संगठन के डेटा और कार्यक्रमों को खतरे में नहीं डालती हैं।

उद्योग मानक तकनीकों का उपयोग करके या Qualys Cloud Platform, Core Cloud Inspect, Cloud Passege Halo, Alert Logic और Seculde IT जैसे स्वचालित सॉफ़्टवेयर अनुप्रयोगों का उपयोग करके या तो मैन्युअल रूप से Cloud Pen Testing करें।

Cloud Pentesting  में तीन चरण शामिल हैं: -

• तैयारी:- इसमें दोनों पक्षों (Cloud Service Provider (CSP) और Client) की सुरक्षा सुनिश्चित करने के लिए औपचारिक समझौतों पर हस्ताक्षर करना शामिल है। यह नीति और कार्रवाई के पाठ्यक्रम को परिभाषित करता है जिसे CSP और Client को संभावित कमजोरियों और उनके शमन को खोजने में करना चाहिए। Pen Testing उन अन्य उपयोगकर्ताओं पर भी विचार करता है जो परीक्षण के तहत समान अवसंरचना का उपयोग कर रहे होंगे। 
• निष्पादन:- इसमें Cloud में मौजूद संभावित कमजोरियों का पता लगाने के लिए Cloud PenTesting योजना को क्रियान्वित करना शामिल है। 
• वितरण: Cloud Pen Testing पूरा होने के बाद, सभी कारनामों / कमजोरियों का दस्तावेजीकरण करें, और आवश्यक कार्रवाई करने के लिए दस्तावेज़ को प्रदाता को सौंप दें।

Scope Of Cloud Pen Testing

चूंकि Cloud एक बहु-प्रतिभा वाला वातावरण है, इसलिए CSP के नेटवर्क में इसे क्रियान्वित करने से पहले Pen Testing के दायरे को निर्धारित करना आवश्यक है। दायरा परिभाषित करता है कि क्या परीक्षण करना है, कैसे परीक्षण करना है, और परीक्षण की सीमा क्या है। चूंकि Dynamic IP Address जैसे संसाधन पर्यावरण में बदलते हैं, एक पैठ परीक्षक के रूप में, किसी को परीक्षण के दौरान बहुत सावधानी बरतने की आवश्यकता होती है, ताकि उन संसाधनों के आकस्मिक परीक्षण को रोका जा सके जो Client के पास नहीं हैं, क्योंकि इससे कानूनी शर्तों का उल्लंघन हो सकता है और सेवाएं। Cloud Pen Testing का दायरा Client द्वारा Cloud सेवा के प्रकार पर निर्भर करता है।

• IaaS - वर्चुअलाइजेशन सुरक्षा, समाधान स्टैक, एप्लिकेशन लेयर, API आदि।
• PasS - अनुप्रयोग और API परतें
• SaaS - आमतौर पर SaaS विक्रेताओं द्वारा तृतीय-पक्ष पेन परीक्षण की अनुमति तब तक नहीं दी जाती जब तक कि सेवा स्तर समझौते (LLA) में इसका उल्लेख नहीं किया जाता है।
• Pen Testing Web Application में मोबाइल Aplication भी शामिल होने चाहिए
• Pen Testing Network या Host में System, Firewall, IDS, Database आदि शामिल हैं। जो Cloud में उपलब्ध हैं
• Pen Testing वेब सेवाओं में मोबाइल Back-end सेवाएं शामिल होनी चाहिए।

Key Considerations For Pen Testing In The Cloud

दुनिया भर के अधिकांश संगठन-छोटे और बड़े- व्यवसाय-Critical Data को संभालने के लिए Cloud सेवा को अपना रहे हैं। मजबूत Cloud तकनीक बेहतर दक्षता, कम लागत, बेहतर पहुंच और लचीलेपन जैसे कई लाभ प्रदान करती है।

कई सुरक्षा जोखिम भी मौजूद हैं जैसे Encryption के मुद्दे, Virtual Machine से जुड़े जोखिम कारक, साझा संसाधनों से उत्पन्न होने वाली कमजोरियां, और इसी तरह। इस प्रकार Cloud Computing प्रौद्योगिकी पर निर्भर संगठनों को Cloud में मौजूद अपनी महत्वपूर्ण संपत्तियों का Pen testing करने की आवश्यकता होती है, जिससे पहले से ही कमजोरियों और संबंधित जोखिमों को संबोधित करना संभव हो जाता है, जिससे हमलावरों को उनकी खोज करने से रोका जा सके।

पेन टेस्टिंग क्लाउड के लिए कुछ महत्वपूर्ण विचार निम्नलिखित हैं: 

• बादल के प्रकार का निर्धारण; PasS, IaaS या SaaS के साथ-साथ Cloud प्रदाता का प्रकार यह निर्धारित करता है कि Pen Testing की अनुमति है या नहीं
• यदि यह SaaS है, तो प्रदाताओं द्वारा Pen Testing की अनुमति नहीं है क्योंकि यह उनके बुनियादी ढांचे को प्रभावित कर सकता है
• यदि यह PasS या IaaS है, तो Pen Testing की अनुमति है, लेकिन समन्वय आवश्यक है
• Cloud प्रदाता के साथ किया गया अनुबंध और SLA बताता है कि क्या Pen Testing की अनुमति है, यदि हां, तो किस प्रकार के परीक्षणों की अनुमति है और इसे कितनी बार किया जा सकता है।
• Pen Testing करने के लिए लिखित सहमति प्राप्त करें
• सुनिश्चित करें कि Infrastructure as a Service (IaaS), Platform as a Service(PasS), या Software as a Service (SaaS) के हर पहलू को परीक्षण और उत्पन्न रिपोर्ट के दायरे में शामिल किया गया है।
• निर्धारित करें कि CSP द्वारा किस प्रकार के परीक्षण की अनुमति है और कितनी बार
• कानूनी और संविदात्मक दस्तावेज तैयार करें।
• आंतरिक और बाहरी दोनों तरह की Pentesting करें
• Web Application Firewall (WAF) या Reverse Proxy के बिना Cloud में वेब App/सेवाओं पर Pentest करें।
• क्लाउड में उपलब्ध होस्ट पर भेद्यता स्कैन करें
• निर्धारित करें कि परीक्षण को शेड्यूल करने और निष्पादित करने के लिए सीएसपी के साथ कैसे समन्वय किया जाए।

Cloud Pentration Testing

Cloud पेन-परीक्षण प्रक्रिया में शामिल चरणों की चर्चा नीचे की गई है;

Step1; Check for Lock-In Problems

लॉक-इन उस स्थिति को संदर्भित करता है जिसमें एक ग्राहक दूसरे CSP पर स्विच नहीं कर सकता है। Subscriber और Cloud Service के बीच Service Level Agreement (SLA) की जाँच करें, और अन्य CSP पर स्विच करने के प्रावधानों का निर्धारण करें।

Step 2 : Check For Governance Issues

SLA दस्तावेज़ की जाँच करें, और निर्धारित करने के लिए CSP के रिकॉर्ड को ट्रैक करें:

• Cloud संसाधनों (Network bandwidth, Storage, Computing Power, Memory Management, Virtual Machine, आदि) के प्रबंधन में CSP और ग्राहकों की भूमिकाएं और जिम्मेदारियां
• SLA क्लॉज़ और उनके कार्यान्वयन में कोई विसंगति
• ग्राहकों के लिए सीएसपी ऑडिट या प्रमाणन की दृश्यता।
• क्लाउड के बाहर संसाधनों पर छिपी निर्भरता।
• स्रोत एस्क्रो समझौता और भेद्यता मूल्यांकन प्रक्रिया।
• Cloud Infrastructure के लिए अनुकूलित प्रमाणन योजनाएं।
• SLA से संबंधित मुद्दों के लिए CSP पर क्षेत्राधिकार।
• उपयोग के संबंध में पूर्णता और पारदर्शिता
• Cloud संपत्ति का स्वामित्व

Step 3 : Check for compliance Issues

Cloud Storage या Backup सेवाओं के उपयोग से Cloud अनुपालन समस्याएँ उत्पन्न होती हैं। अनुपालन मुद्दों की जांच के लिए सिफारिशों में शामिल हैं:

• Cloud Computing में स्थानांतरण के लिए PCI, SOX और अन्य कृत्यों का अनुपालन एक प्रमुख चिंता का विषय है।
• अनुपालन मुद्दों के लिए CSP का नियमित रूप से Audit और प्रमाणित होने के लिए SLA की जांच करें।
• उन नियमों का निर्धारण करें जिनका CSP अनुपालन करता है
• अनुपालन बनाए रखने में CSP और ग्राहकों की जिम्मेदारियों की जाँच करें, और जाँच करें कि क्या SLA इस मुद्दे पर पारदर्शिता प्रदान करता है।

Step 4: Check Cloud For Resource Isolation

संसाधन अलगाव के लिए Cloud की जाँच करने के लिए अनुशंसाएँ:

• जांचें कि क्या एक ग्राहक की गतिविधि दूसरे को प्रभावित करती है।
• CSPs Client Feedback और विशेषज्ञ समीक्षाओं की जाँच करें
• Track Record और CSP की सेवाओं की किसी भी सुरक्षा की जाँच करें।

Step 5 : Check if Anti-Malware Applications are Installed and Updated on Every Device

• जांचें कि क्या Cloud Infrastructure का प्रत्येक घटक (यानी Data Center, Access Point, डिवाइस और आपूर्तिकर्ता) उपयुक्त सुरक्षा नियंत्रणों का उपयोग करके सुरक्षित है
• update, प्रकोप अलर्ट और स्वचालित स्कैन के लिए जाँच करें।

Step 6 : Check if CSP has installed Firewalls at Every Network Entry Points

• जांचें कि क्या प्रत्येक Network प्रविष्टि बिंदु पर Firewall स्थापित हैं।
• अप्रयुक्त बंदरगाहों, Protocol और सेवाओं को अवरुद्ध किया जाना चाहिए।

Step 7 : Check if the Provider has Deployed Strong Authentication for Every Remote User

•  सभी दूरस्थ उपयोगकर्ताओं को आठ वर्णों वाले पासवर्ड का उपयोग करना चाहिए जो कि अक्षरांकीय है
• सुरक्षा सुनिश्चित करने के लिए नेटवर्क तक पहुँचने के लिए OTP (वन-टाइम-पासवर्ड) का उपयोग करने वालों को मान्य करने के लिए दो-कारक प्रमाणीकरण का उपयोग किया जाना चाहिए।

Step 8 : Check Whether the Provider Encypts Files Transferred To/ From Cloud Servers

• Access URL में SSL Encryption के लिए Cloud सेवा, प्रतिष्ठित विक्रेताओं से सुरक्षा प्रमाणपत्र और सुरक्षा Padlock की जाँच करें।
• जांचें कि क्या VPN और सुरक्षित ईमेल सेवाओं का उपयोग संचार के लिए किया जाता है
• Cloud सेवा की सुरक्षा और गोपनीयता नीतियों की जाँच करें।

Step 9 : Check Whether Files Stored on Cloud Servers Are Encrypted

• जांचें कि क्या Default Cloud Server में संग्रहीत Data को Encrypt करता है और Data को Encrypt करने के लिए उपयोग किए जाने वाले Encryption Algorithm का निर्धारण करता है।
• जांचें कि क्या Cloud सेवा प्रदाता या सेवा उपयोगकर्ता Encryption के लिए Algorithm कुंजी रखते हैं

Step 10 : Check Data Retention Policy of Service Providers

•  निर्धारित करें कि क्या सेवा प्रदाता तीसरे पक्ष को डेटा का खुलासा करने के लिए देश के कानून द्वारा बाध्य हैं।
• Cloud में Data प्रतिधारण की अवधि और Cloud से Data को हटाने की प्रक्रियाओं की जाँच करें।    जाँच करें कि यदि सेवा प्रदाता किसी अन्य सेवा प्रदाता द्वारा अधिग्रहित किया जाता है या किन्हीं अन्य कारणों से अस्तित्व समाप्त हो जाता है तो डेटा प्रतिधारण को कैसे संभाला जाएगा।

Step 11 : Check Whether All Users Follow Safe Internet Practices

• जाँच करें कि क्या एक प्रलेखित कंप्यूटर और इंटरनेट उपयोग नीति मौजूद है और ठीक से लागू की गई है
• जांचें कि क्या Firewall, IDS/IPS सिस्टम और Antimalware Application ठीक से Configure किए गए हैं।
• जाँच करें कि क्या कर्मचारियों को नियमित रूप से शिक्षित किया जाता है कि वे इसमें शामिल न हों और पासवर्ड साझा करने, फ़िशिंग ईमेल का जवाब देने और स्रोत को सत्यापित किए बिना फ़ाइलों को डाउनलोड करने जैसे जोखिमों का जवाब कैसे दें।

Step 12 : Perform a Detailed Vulnerability Assessment

 सामान्य भौतिक मशीनों के लिए प्रत्येक घटक का Pen Testing करें (अधिक विवरण के लिए पिछले मॉड्यूल की जांच करें)

Step 13 : Check Audit and Evidence-Gathering Features in the Cloud Services

• जांचें कि क्या क्लाउड सेवा प्रदाता आवश्यकता पड़ने पर वर्चुअल मशीनों की क्लोनिंग के लिए सुविधाएँ प्रदान करता है
• वर्चुअल मशीनों का क्लोनिंग डाउनटाइम को कम करने में मदद करता है क्योंकि प्रभावित मशीनों और सबूतों का ऑफ़लाइन विश्लेषण किया जा सकता है, जिससे एक संदिग्ध सुरक्षा उल्लंघन की जांच की जा सकती है।
• एकाधिक क्लोन जांच के समय को भी बचा सकते हैं और अपराधियों का पता लगाने की संभावना में सुधार कर सकते हैं।

Step 14 :Perform Automated Cloud Security Testing

स्वचालित Cloud सुरक्षा परीक्षण समाधान वास्तविक, वर्तमान हमले तकनीकों के विरुद्ध Cloud परिनियोजन की सुरक्षा को सक्रिय रूप से सत्यापित कर सकते हैं

स्वचालित Cloud सुरक्षा परीक्षण करने के लिए प्रयुक्त उपकरण:

• Qualys Cloud Platform
• Cloud Passaage Halo
• Core CloudInspect

Step 15 : Document all the Findings

एक बार Cloud pen Testing पूरा हो जाने के बाद, प्रत्येक चरण में आपके द्वारा प्राप्त की गई सभी जानकारी एकत्र और दस्तावेज करें। आप इस दस्तावेज़ का उपयोग Client के Cloud Enviorment की सुरक्षा स्थिति का अध्ययन करने, समझने और विश्लेषण करने के लिए कर सकते हैं। कमजोरियों और परिणामी जोखिमों को संबोधित करें और सुरक्षा समझौता के जोखिम को स्वीकार्य स्तर तक कम करने के लिए लागू करने के लिए शमन तकनीकों का सुझाव दें।

Recommendations for Cloud Testing

1. पता लगाएँ कि क्या Cloud प्रदाता आपकी स्वयं की सुरक्षा नीतियों को समायोजित करेगा या नहीं।
2. प्रदाता की सुरक्षा सावधानियों की तुलना सुरक्षा के वर्तमान स्तरों से करें ताकि यह सुनिश्चित हो सके कि प्रदाता उपयोगकर्ता के लिए बेहतर सुरक्षा स्तर प्राप्त कर रहा है।
3. सुनिश्चित करें कि Cloud Computing भागीदार जोखिम मूल्यांकन तकनीकों का सुझाव देते हैं और खुला सुरक्षा जोखिमों को कम करने के बारे में जानकारी देते हैं।
4. सुनिश्चित करें कि एक Cloud सेवा प्रदाता किसी एजेंसी के सामने आने वाले किसी भी सुरक्षा समझौते के लिए अपनी नीतियों और प्रक्रियाओं को प्रदान करने में सक्षम है।
5. सेवा प्रदाता के समझौते पर ध्यान दें ताकि Coding नीतियों को सुरक्षित किया जा सके।
6. उपयोगकर्ता नाम और Password के साथ उपयोगकर्ताओं को प्रमाणित करें।
7. सुनिश्चित करें कि सभी Credentials जैसे कि Cloud प्रदाता को सौंपे गए खाते और पासवर्ड संगठन द्वारा नियमित रूप से बदले जाने चाहिए
8. नीतियों के मजबूत password को Cloud Pen Testing एजेंसियों द्वारा सलाह दी जानी चाहिए और नियोजित किया जाना चाहिए।
9. सुनिश्चित करें कि मौजूदा व्यावसायिक IT सुरक्षा Protocol Up-To-Date हैं और Cloud Computing में शामिल जोखिमों को संभालने के लिए पर्याप्त लचीले हैं।
10. सुनिश्चित करें कि आईटी समर्थन की पेशकश की जा सकती है और संभावित डेटा उल्लंघनों को रोकने के लिए सुरक्षा की अधिक कठोर परतों का उपयोग करें।
11. सुनिश्चित करें कि Virtual Enviorment प्रबंधन Interface तक पहुंच अत्यधिक प्रतिबंधित है।
12. Password Encryption सलाह दी जाती है।
13. पैठ परीक्षण के दौरान उजागर होने वाली जानकारी को सुरक्षित रखें।
14. Cloud Hyperwears पर विशेष ध्यान दें, Server जो कई Operating System चलाते हैं।
15. SaaS एप्लिकेशन का उपयोग करने वाली फर्मों के लिए एक केंद्रीकृत प्रमाणीकरण या एकल साइन ऑन का उपयोग करें।
16. सुनिश्चित करें कि इन सुरक्षा मानकों का पालन करने के लिए श्रमिकों को सर्वोत्तम संभव प्रशिक्षण प्रदान किया जाता है

Conclusion

• Cloud Computing IT क्षमताओं की On-Demand Delivery है जहां एक नेटवर्क पर एक मीटर्ड सेवा के रूप में ग्राहकों को It Infrastructure और Application प्रदान किए जाते हैं।
• Cloud सेवाओं को मोटे तौर पर तीन श्रेणियों में विभाजित किया जाता है: एक सेवा के रूप में Platform as a Service (PaaS), Infrastructure as a Service (Iaas), और Software as a Service (SaaS)।
• Virtualization एक भौतिक प्रणाली पर कई Operating System चलाने और Server, storage डिवाइस या नेटवर्क जैसे अंतर्निहित संसाधनों को साझा करने की क्षमता है।
• हमलावर Cloud सेवाओं तक गुमनाम पहुंच बनाते हैं और विभिन्न हमलों को अंजाम देते हैं जैसे कि पासवर्ड एक कुंजी Cracking, उभरी हुई इंद्रधनुष तालिकाएं, Captcha-Solving वाले फ़ार्म, गतिशील हमले के बिंदु लॉन्च करना आदि।
• Cloud सेवा प्रदाताओं को उच्च बहु-किरायेदारी प्रदान करनी चाहिए जो क्लाउड संसाधनों के इष्टतम उपयोग और Data और अनुप्रयोगों को सुरक्षित करने में सक्षम बनाता है
• Cloud Pen Testing एक दुर्भावनापूर्ण स्रोत से हमले का अनुकरण करने वाले Cloud System की सुरक्षा का सक्रिय रूप से मूल्यांकन करने की एक विधि है।
  

अगर आपको यह ब्लॉग पसंद आया हो तो कृपया अधिक हैकिंग सामग्री के लिए नीचे कमेंट करें, यहां क्लिक करें

 अगर आपको यह पोस्ट इंग्लिश मै पड़ना है तो यहाँ क्लिक करे