Azure雲端服務滲透測試攻防實務

第1章｜事前準備
介紹一種以雲端系統為中心的滲透測試方法，以及如何取得執行評估所需的適當權限。

第2章｜取得存取權限的方法
提供滲透測試人員多種存取他人訂用的Azure服務之方法。

第3章｜勘查
提供筆者自行開發的超強腳本來列舉所指定的訂用帳戶中之服務，以及從這些服務中取得有用資訊，它還能標示出某些實用的第三方工具，以便繼續探究Azure裡的特定服務。

第4章｜檢測儲存體
討論如何存取Azure儲存體帳戶及查看其內容的最佳方法。

第5章｜瞄準虛擬機
藉由檢測虛擬機（VM）的安全性，深入探討Azure基礎架構即服務（IaaS）的內涵。

第6章｜調查網路系統
說明各種網路安全技術，例如防火牆、虛擬私有網路（VPN）連線及其他可將訂用服務連接到公司內部網路的橋接技術。

第7章｜其他Azure服務
探討一些Azure 特定的服務，例如金鑰保存庫（Key Vault）和Azure網站應用程式。

第8章｜監控、日誌和警報
檢視Azure的安全日誌和監控紀錄。

序

　　讀者若已從事資訊工作一段時間，可能注意到過去建置在企業內部網路的專案，現在可能已被重新包裝成雲端服務，甚至有些機構將之前的應用系統，從本地伺服器遷移到廠商託管的共享服務平台上，這種現象其實很容易理解：將系統移植到雲端可以省下大筆的硬體費用支出，並讓執行效率更加精實，換句話說，公司只需為實際的資源使用量支付費用，如果新服務一夜之間大受歡迎，還可以迅速擴充資源，當然，在權衡利弊得失時，安全性通常是第一考量因素。

　　應用程式架構師和管理人員通常會考慮、評估其解決方案的安全性，然而，許多機構仍然缺乏雲端管理經驗，尤其是應用系統開發的威脅模型，這也是驅使筆者撰寫本書的原因，我們需依靠滲透測試來檢驗這些專案中的假設和設計決策，儘管已有許多關於滲透測試的優秀論述，卻鮮少專門討論雲端服務託管的議題，本書的目標是希望就微軟Azure 平台的資產安全性，從大方向提供完整的評估執行步驟，並為本書討論的攻擊手法提供可能的補救措施。

　　本書是針對Azure 滲透測試的典型工作流程而編排，面對不同的安全項目，讀者可能不需要逐章閱讀，並非每個客戶都會完全使用書中所介紹的所有Azure服務，多數人只需依靠Azure提供的部分服務即能達到業務要求，若某個章節與你的工作沒有關聯，可以選擇跳過，日後若有需要再隨時回頭閱讀，但筆者認為若執行的評估作業夠頻繁，這些技術終究會派上用場。