Funktions-Release: Cloud-Penetrationstests mit Prowler- und Wiz-Integrationen

Wir freuen uns, eine bedeutende Erweiterung von Mitigants Cloud-Penetrationstests bekannt zu geben. Die erste Version basierte auf unserem nativen Cloud Security Posture Management (CSPM). Der Workflow nutzte CSPM-Ergebnisse, um nachfolgende Penetrationstests zu steuern, einschließlich der Angriffsauswahl, Beweissicherung und Berichterstellung. Nach Gesprächen mit unseren Kunden wurde uns jedoch klar, dass eine Interoperabilität mit anderen CSPM-Lösungen, die bereits in bestehende Sicherheits-Workflows integriert sind, erforderlich ist.

Daher bietet diese Version drei wesentliche neue Funktionen: Bring Your Own CSPM Unterstützung für Prowler und Wiz, Privilegienerweiterungsowie Visualisierung von Angriffspfaden. Für Sicherheitsteams, Managed Security Service Provider (MSSPs) und Beratungsunternehmen, die bereits Prowler oder Wiz einsetzen, ist der praktische Nutzen erheblich: Sicherheitsergebnisse werden automatisch anhand von internetexponierten Ressourcen validiert, und tatsächliche Schwachstellen sowie Pfade zur Privilegienerweiterung werden identifiziert. Beachten Sie, dass die Pfade zur Privilegienerweiterung SCP-bewusst sind. Das bedeutet, sie spiegeln wider, was innerhalb der AWS-Organisationskontrollen tatsächlich ausnutzbar ist, und nicht nur, was theoretisch möglich wäre. Dieser Artikel erläutert diese Funktionen und ihr Zusammenspiel.

Von der Zustandsbewertung zu ausnutzbaren Ergebnissen

Wir haben bereits darüber geschrieben, warum CSPM-Scans keine Cloud-Penetrationstests sind. Das Kernargument: Ein Cloud-Posture-Scan liefert über 2.000 Ergebnisse, von denen die meisten irrelevant sind. Ohne Validierung fällt es Sicherheitsteams schwer, zwischen theoretischen Risiken und tatsächlich ausnutzbaren Schwachstellen zu unterscheiden. Das Ergebnis sind Alarmmüdigkeit, eine niedrige Priorisierung der Behebung und ein falsches Sicherheitsgefühl. Mitigant Cloud Penetration Testing begegnet diesen Herausforderungen mit einem dreistufigen Prozess:

Posture-Bewertung: Die Plattform verarbeitet CSPM-Ergebnisse, entweder aus dem nativen CSPM von Mitigant oder aus importierten CSPM-Berichten, z. B. von Prowler oder Wiz.

Posture-Validierung: Eine automatisierte Analyse der Ausnutzbarkeit reduziert die Ergebnisse in etwa 30 Sekunden auf die ca. 200 relevantesten Kandidaten. Durch Analysen zur Ausnutzbarkeit und Angriffs-Emulation werden diese Ergebnisse präzise und passiv überprüft, um die tatsächlich ausnutzbaren Schwachstellen herauszufiltern. Optional können Benutzer die aktive Ausnutzung dieser gefilterten Ergebnisse mithilfe der bestehenden Mitigant-Angriffe aktivieren.

Ausnutzbare Ergebnisse: Das Ergebnis ist eine Liste nachgewiesener Bedrohungen: evidenzbasiert, priorisiert und umsetzbar. Die Rauschunterdrückung liegt bei etwa 85 %.

Das Ergebnis ist eine Mean Time to Validate (MTTV) von etwa 5 Minuten vom Start des Pentests über die Validierung bis hin zur Berichterstattung. Dies ist die entscheidende Kennzahl für Sicherheitsteams, die unter Zeitdruck arbeiten, sowie für Pentest-Firmen, die effizient kundenfertige Ergebnisse liefern müssen.

Bring Your Own CSPM: Prowler- und Wiz-Integrationen

Ein wesentlicher Teil des Feedbacks, das wir von Kunden und Partnern erhalten haben, war eine Variation derselben Frage: Können wir Cloud-Pentests durchführen, wenn wir bereits andere CSPMs wie Prowler oder Wizverwenden? Die Antwort lautet jetzt JADie Cloud-Pentest-Funktion ermöglicht jetzt das Hochladen von CSPM-Berichten von Drittanbietern. Hier sind die verfügbaren Optionen:

• Mitigant CSPM: Nativ und vollständig integriert. Kein Upload erforderlich. Der bestehende Workflow bleibt unverändert.
• Prowler: Importieren Sie Prowler-Assessment-Berichte im CSV- oder JSON-ASFF-Format und führen Sie Cloud-Pentests durch.
• Wiz: Importieren Sie einen Wiz-CSPM-Assessment-Bericht im CSV-Format und führen Sie Cloud-Pentests durch.

Teams, die Prowler oder Wiz einsetzen, müssen ihre Posture-Tools nicht migrieren, um von Mitigants Cloud-Penetrationstests zu profitieren. Diese Integration spiegelt zudem eine umfassendere Mission wider: Sicherheitsvalidierung zugänglich zu machen, um den Fokus auf die tatsächliche Ausnutzbarkeit zu legen – insbesondere da KI es zunehmend erleichtert, Sicherheitsbefunde und Schwachstellen zu identifizieren.

‍

‍

Privilegieneskalation

Cloud-Identitäten sind die am häufigsten angegriffene Angriffsfläche in Cloud-Umgebungen. Sobald Angreifer einen ersten Zugriff auf eine Cloud-Umgebung erlangen – sei es durch geleakte Zugangsdaten, eine falsch konfigurierte Rolle oder eine kompromittierte Workload – ist ihr nächster Schritt fast immer die Privilegieneskalation. Sie suchen nach IAM-Benutzern, Rollen und Richtlinien, die missbraucht werden können, um Zugriffsrechte zu erweitern, sich lateral zu bewegen oder Administratorzugriff zu erlangen. Dieses Muster bestätigt sich Jahr für Jahr in den von Mandiant, CrowdStrike und anderen veröffentlichten Daten zu Cloud-Sicherheitsvorfällen. Die Funktion zur Privilegieneskalation validiert diese Angriffsfläche. Sie erkennt echte, ausnutzbare IAM-Eskalationspfade in Ihrer AWS-Umgebung und validiert diese kritischerweise anhand von 28 Techniken zur Privilegieneskalation. Diese Techniken decken die am häufigsten missbrauchten IAM-Primitive ab: Richtlinienmanipulation, PassRole-Ketten in Lambda und EC2, das Erstellen von Zugriffsschlüsseln für hochprivilegierte Identitäten, die Ausnutzung von Trust-Policies sowie Eskalationen über CloudFormation. Alle Befunde zur Privilegieneskalation sind dem MITRE ATT&CK-Framework zugeordnet, einschließlich T1098 (Account Manipulation) und T1562 (Impair Defenses), wobei kontoübergreifende Pfade auf T1199 (Trusted Relationship) verweisen.

SCP-gestützte Validierung

Eine der häufigsten Ursachen für Fehlalarme bei Privilegieneskalations-Befunden ist die Nichtberücksichtigung von Service Control Policies (SCPs), die auf Ebene der AWS Organizations konfiguriert sind. Ein Eskalationspfad, der auf IAM-Ebene ausnutzbar erscheint, kann durch eine SCP, die die entsprechenden API-Aufrufe in der gesamten Organisation einschränkt, vollständig blockiert sein.

Die Bewertung der Privilegieneskalation ist SCP-aware; Befunde werden gegen erkannte SCPs geprüft, um bestehende Einschränkungen zu identifizieren. Das bedeutet, dass die Befunde in den Pentest-Berichten tatsächlich ausnutzbare Szenarien und Umgebungen widerspiegeln, die mit den implementierten organisatorischen Kontrollen übereinstimmen. Das praktische Ergebnis ist eine deutlich geringere Fehlalarmquote im Vergleich zu Tools, die IAM-Berechtigungen isoliert bewerten.

Integration in den Pentest-Bericht

Ergebnisse zur Privilegienerweiterung erscheinen zusammen mit CSPM-basierten Erkenntnissen im Cloud-Pentest-Bericht und sind mit einem Priv-Esc-Badge gekennzeichnet. Jedes Ergebnis im Bericht, einschließlich der Pfade zur Privilegienerweiterung, wird zugeordnet zu MITRE ATT&CK Techniken, damit Sicherheitsteams und Pentest-Firmen ihre Ergebnisse direkt auf das Framework abstimmen können, das ihren Erkennungsregeln, Bedrohungsmodellen und Kundenberichten zugrunde liegt. Ein einziger Pentest-Durchlauf erfasst sowohl Fehlkonfigurationsrisiken als auch IAM-Eskalationsrisiken in einer einheitlichen Ausgabe, wobei Nachweise und MITRE-Zuordnungen an jedes Ergebnis angehängt sind.

‍

Visualisierung von Angriffspfaden

Eine Liste von Technik-IDs verrät einem Security Engineer, worin die Schwachstelle besteht. Ein Graph zeigt ihm, wie weit ein Angreifer gehen kann. Visualisierung von Angriffspfaden stellt IAM-Eskalationspfade als interaktiven gerichteten Graphen dar, der im Reiter „Angriffspfad“ innerhalb jedes Pentest-Ergebnisses angezeigt wird.

Der Graph stellt Identitätsknoten auf der linken Seite, Eskalationstechnik-Knoten in der Mitte (zugeordnet zu PRIVESC-IDs und MITRE ATT&CK-Referenzen) und Ergebnisknoten auf der rechten Seite dar, die das resultierende Zugriffsniveau zeigen. Mehrstufige Pfade, bei denen ein Angreifer zwei oder mehr Techniken verkettet, um ein höheres Privileg zu erreichen, werden als verzweigte Kanten im Graphen dargestellt. Zu sehen, dass ein spezifischer IAM-Benutzer einen dreistufigen Pfad zum Administratorzugriff hat, ist aussagekräftiger als das Lesen einer Liste von API-Aufrufnamen.

Der Graph ist interaktiv: Benutzer können schwenken, zoomen, die Ansicht anpassen und ihn als SVG herunterladen, um ihn in Pentest-Berichte oder Management-Präsentationen einzubinden.

Welche Möglichkeiten sich für Sicherheitsteams eröffnen

MSSPs und Sicherheitsteams, die heute Prowler oder Wiz nutzen, können diese Funktionen einsetzen, um verschiedene operative Lücken zu schließen, darunter:

Kontext der Angriffsfläche, einschließlich internetexponierter Ressourcen. Ergebnisse zur Sicherheitskonfiguration allein verraten Ihnen nicht, welche Fehlkonfigurationen aus dem Internet erreichbar sind. Mitigant bezieht internetexponierte Ressourcen in den Pentest-Umfang ein, sodass die Ergebnisse die tatsächlichen Zugriffsmöglichkeiten für Angreifer widerspiegeln und nicht nur interne Konfigurationszustände.

Validierte Ergebnisse mit einer MTTV von 5 Minuten. Die manuelle Sichtung kritischer und hochgradig schwerwiegender Ergebnisse aus einem CSPM-Bericht ist zeitaufwendig und ungenau. Der Pentest-Workflow von Mitigant validiert Ergebnisse durch passive und aktive Angriffsausführung und reduziert Tausende von Konfigurationsergebnissen in etwa 5 Minuten auf einen fokussierten, bestätigten und belegbaren Satz. Der manuelle Filterungsschritt wird durch eine automatisierte Analyse der Ausnutzbarkeit ersetzt.

Vollautomatische Ausführung, auf Abruf. Ein Pentest kann jederzeit gestartet werden und erstellt einen strukturierten Bericht ohne manuellen Eingriff. Für Teams, die kontinuierliche Sicherheitsprogramme betreiben, oder Firmen, die wiederkehrende Aufträge abwickeln, entfällt damit der Planungs- und Einrichtungsaufwand für jeden Testzyklus.

Über 300 Angriffe für weiterführende Tests und Exploitation. Über die anfängliche Auswahl auf Basis der Sicherheitskonfiguration hinaus steht der Katalog von Mitigant mit über 300 Cloud-Angriffen für tiefgreifendere Tests und Exploitation-Szenarien zur Verfügung. Angriffsaktionen sind atomare Sicherheitstests, die auf spezifische Cloud-Dienste abzielen und jeweils dem MITRE ATT&CK-Framework zugeordnet sind. Angriffsszenarien verknüpfen mehrere Aktionen zu realistischen, mehrstufigen Kampagnen. Gemeinsam ermöglichen sie es Sicherheitsteams, weit über die von CSPM aufgedeckten Ergebnisse hinauszugehen und eine umfassendere Abdeckung gegnerischer Aktivitäten über Cloud-Dienste hinweg zu erreichen.

Kontextbezogene, SCP-bewusste Privilegieneskalation. Ergebnisse zur IAM-Eskalation werden innerhalb der SCP-Beschränkungen der AWS-Organisation bewertet. Nur Pfade, die unter den Kontrollrichtlinien der Organisation tatsächlich ausführbar sind, werden als Ergebnisse angezeigt. Dies eliminiert Fehlalarme, die durch die isolierte Bewertung von IAM-Berechtigungen entstehen, und stellt sicher, dass sich die Maßnahmen zur Behebung auf echte Risiken konzentrieren.

Was als Nächstes kommt

Diese Version konzentriert sich auf AWS. Die nächste Phase der Privilege Escalation Engine wird die Abdeckung auf Azure und GCP ausweiten, wo Eskalationspfade andere Primitive beinhalten: verwaltete Identitäten, Service Principals, RBAC-Zuweisungen und Workload-Föderation. Microsofts eigene Azure Threat Research Matrix wird den Technikkatalog für diese Plattformen ergänzen.

Die Pentest-Planung steht ebenfalls auf der Roadmap und ermöglicht es Sicherheitsteams und Pentest-Firmen, wiederkehrende Pentests automatisch ohne manuelle Initiierung durchzuführen, wodurch die Validierung der Sicherheitskonfiguration kontinuierlich statt nur punktuell erfolgt.

Wir arbeiten zudem kontinuierlich an der Erweiterung der Angriffsemulationsabdeckung über alle drei großen Cloud-Anbieter hinweg, und eine tiefere Integration zwischen Konfigurationsergebnissen und Angriffsausführung bleibt der Kernfokus unserer Roadmap.

Um diese Funktionen zu erkunden, melden Sie sich bei Ihrem Mitigant-Konto an und starten Sie einen neuen Pentest oder buchen Sie eine Demo, um sie in Aktion zu sehen.

‍