# Un seul droit mal attribué suffit. Nous le trouvons les premiers.

> Un test d’intrusion cloud évalue un environnement cloud tel qu’AWS, Azure, Microsoft 365 ou Google Cloud à la recherche d’erreurs de configuration et de chemins d’attaque : services et espaces de stockage exposés, identités aux privilèges excessifs, authentification faible et moyens de passer d’un simple compte au contrôle de tout le tenant. Zyberum associe une revue de configuration à des attaques réelles et livre des vulnérabilités priorisées, accompagnées de leurs correctifs.

Pentest cloud et revue de configuration AWS, Azure, Microsoft 365 et Google Cloud : identités, droits, services exposés, chemins d’attaque. À prix fixe.

Source: https://zyberum.com/fr/pentest-cloud

La plupart des incidents cloud ne sont pas des piratages du fournisseur. Ce sont des espaces de stockage ouverts, des clés oubliées et des rôles aux droits trop étendus. Nous examinons votre cloud comme le ferait un attaquant : depuis l’extérieur, puis depuis un compte compromis.

## D’Internet jusqu’aux droits d’administrateur du tenant

### Exposition externe

Stockage public, ports d’administration ouverts, systèmes de test oubliés et identifiants ayant fuité.

### Identités et accès

Rôles et stratégies permettant une élévation de privilèges, authentification multifacteur absente, comptes de service à risque.

### Réseau et segmentation

Ce qu’un attaquant peut atteindre après la première compromission, et ce qui freine ses déplacements latéraux.

### Charges de travail

Machines virtuelles, conteneurs, Kubernetes et fonctions serverless, avec leurs secrets.

### Journalisation et détection

Le remarqueriez-vous ? Nous vérifions si nos attaques apparaissent dans vos journaux et vos alertes.

### Microsoft 365 et Entra ID

Accès conditionnel, utilisateurs invités, inscriptions d’applications, transfert d’e-mails et paramètres de partage.

## La revue, puis l’attaque

Nous commençons par une revue de configuration avec un accès en lecture seule, qui couvre rapidement tout l’environnement. Puis nous attaquons : depuis Internet, et depuis la position d’un utilisateur ordinaire ou d’une charge de travail compromise.

Le résultat n’est pas une liste de 400 paramètres. Ce sont les quelques chemins qui mènent d’une petite erreur au contrôle total, dans l’ordre où vous devez les fermer.

**Ce que vous obtenez**

- Les chemins d’attaque, détaillés étape par étape
- Des vulnérabilités priorisées selon le risque réel
- Des correctifs sous forme de paramètres ou de stratégies concrets
- Des preuves pour les audits NIS2 et ISO 27001
- Retest après correction

## FAQ

**Faut-il une autorisation du fournisseur cloud ?**

AWS, Azure et Google Cloud autorisent les tests d’intrusion sur vos propres ressources sans accord préalable, dans le cadre des règles qu’ils publient. Nous respectons ces règles et convenons du périmètre avec vous par écrit.

**De quels accès avez-vous besoin ?**

D’un accès en lecture seule pour la revue de configuration, et d’un compte utilisateur standard pour la partie attaque. Nous n’avons jamais besoin de vos identifiants d’administrateur.

**Est-ce la même chose qu’un audit de sécurité cloud ?**

Un audit compare les paramètres à un référentiel. Nous le faisons aussi, mais nous essayons ensuite d’exploiter ce que nous trouvons : vous savez ainsi quelles failles comptent vraiment.

---
Zyberum GmbH. Canonical page: https://zyberum.com/fr/pentest-cloud