Cyber Shelf

// Comparaison

Advanced Penetration Testing vs Pentesting Azure Applications : lequel lire ?

Deux livres de cybersécurité sur Offensive, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Avancé
3/52017
Advanced Penetration Testing

Pénétrer les réseaux les plus sécurisés du monde

Wil Allsopp

Le parcours d'un red-teamer pour entrer dans des cibles hautement sécurisées sans Metasploit, en s'appuyant sur du C2 maison, de l'ingénierie sociale et du tradecraft. De bonnes idées, une exécution inégale.

Intermédiaire
3/52018
Pentesting Azure Applications

The Definitive Guide to Testing and Securing Deployments

Matt Burrough

Matt Burrough sur le comportement attaquant contre les tenants Azure : identité, stockage, VMs, manipulation de matériel de clés et les chemins de recon qui marchent contre de vraies souscriptions.

À lire si

Pentesters en activité qui veulent dépasser les missions guidées par les outils et construire leurs propres payloads et C2 face à des environnements durcis et surveillés.
Pentesters cloud dont le scope inclut les souscriptions Azure. Burrough couvre l'identité (Entra ID), l'abus de comptes de stockage, la recon niveau VM, la manipulation de matériel de clés et les patterns d'accès basés rôle qui pilotent la vraie post-exploitation Azure.

À éviter si

Débutants, et quiconque cherche un manuel de labo soigné et reproductible. Passez votre chemin si vous voulez du code à copier-coller et exécuter, les listings sont illustratifs et datés.
Lecteurs focalisés AWS ou GCP, ou quiconque voulant le tradecraft Azure actuel. Le livre précède le rebrand actuel AAD-vers-Entra-ID et plusieurs mises à jour de services majeurs ; à traiter comme fondamental, pas actuel.

Points clés

  • Face à des cibles matures, le travail intéressant, c'est l'outillage sur mesure et le tradecraft, pas les frameworks tout faits.
  • Une mission réaliste de type APT est une campagne, ingénierie sociale, payloads par étapes et C2 patient, pas un exploit unique.
  • Contourner l'EDR et les contrôles de sortie est un problème de conception que l'on résout avant la mission, pas une option que l'on active pendant.
  • Les patterns d'attaque Azure se centrent sur l'identité et les rôles, pas sur les vulnérabilités niveau réseau ; le cadrage du livre reflète cela.
  • Les mauvaises configurations de comptes de stockage restent un des findings Azure les plus communs ; la couverture du livre sur l'abus de clés d'accès est encore pertinente.
  • Le reporting pentest cloud diffère significativement du reporting pentest réseau ; les templates de livrables du livre sont des points de départ utiles.

Comment ils se comparent

Advanced Penetration Testing et Pentesting Azure Applications sont tous deux notés 3/5 dans notre catalogue. Choisissez selon vos préférences thématiques et de style, plutôt que sur la note.

Advanced Penetration Testing vise le niveau avancé. Pentesting Azure Applications vise le niveau intermédiaire. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.

Advanced Penetration Testing et Pentesting Azure Applications couvrent tous les deux Offensive, Pentesting : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Advanced Penetration Testing

→ Alternatives à Advanced Penetration Testing→ Que lire après Advanced Penetration Testing

Pentesting Azure Applications

→ Alternatives à Pentesting Azure Applications→ Que lire après Pentesting Azure Applications

Thématiques liées

OffensivePentesting