评估概览
评估内容
云账户、订阅、项目、服务、身份和排除项
审查公开风险、网络控制、存储权限和工作负载
评估身份、角色、秘密和可能的权限路径
与已验证活动相关的日志记录和监控观察结果
来自云环境的证据、优先纠正措施和重新测试状态
测试覆盖范围
检查内容
最终覆盖范围取决于约定的系统、访问权限、目标、排除项目及安全要求。
身份和访问管理
公开暴露和云网络控制
存储权限和数据路径
管理平面的工作负载和配置
秘密及服务身份
日志记录、监控和权限提升路径
行业参考资料
如何获取覆盖范围信息
CIS Benchmarks
相关云平台和服务的配置审查准则。
CIS Controls
身份、资产、配置、日志记录和数据保护的保障情境。
供应商测试政策
相关云服务提供商发布的规则和限制。
NIST SP 800-115
技术评估规划和报告。
这些参考资料为评估提供依据。测试本身并不提供认证或保证合规。
最终报告
报告中包含的内容
报告专为决策者和负责修复的团队而设计。
云范围和边界记录
配置发现和已验证的攻击路径
身份和暴露分析
优先纠正措施
复检报告
讨论所需的范围和报告。
DIGITPOL HK 将在测试前确认目标、限制、证据需求和报告要求。