Skip to main content

참고자료 (References & Resources)

클라우드 침투테스트 학습에 유용한 자료와 리소스를 모았습니다.

원본 출처​

CloudPentestCheatsheets​

이 문서는 다음 프로젝트를 기반으로 작성되었습니다:

저자: Beau Bullock (@dafthack) GitHub: CloudPentestCheatsheets

Beau Bullock과 클라우드 보안 커뮤니티의 모든 기여자분들께 감사드립니다.

📚 학습 사이트​

HackTricks Cloud​

URL: https://cloud.hacktricks.xyz/

설명:

  • AWS, Azure, GCP 취약점 및 공격 기법
  • 상세한 설명과 예제
  • 실전 시나리오

추천 대상:

  • 클라우드 침투테스트 초급~중급자
  • 체계적인 학습 원하는 분

PayloadsAllTheThings​

URL: https://github.com/swisskyrepo/PayloadsAllTheThings

설명:

  • 다양한 공격 페이로드 모음
  • AWS, Azure, GCP 섹션 포함
  • 복사해서 바로 사용 가능

OWASP Cloud Security​

URL: https://owasp.org/www-project-cloud-security/

설명:

  • 클라우드 보안 베스트 프랙티스
  • 일반적인 취약점 목록
  • 방어 전략

🎓 실습 환경 (CTF)​

Flaws Cloud (AWS)​

URL: http://flaws.cloud 플랫폼: AWS

설명:

  • AWS 보안 과제 (레벨 1~6)
  • S3, IAM, EC2 취약점
  • 무료, 가이드 제공

추천:

  • AWS 입문자
  • S3 공격 학습

Flaws2 Cloud​

URL: http://flaws2.cloud 플랫폼: AWS

설명:

  • Flaws의 후속편
  • 공격자/방어자 두 관점
  • 더 어려운 난이도

Thunder CTF (GCP)​

URL: http://thunder-ctf.cloud 플랫폼: GCP

설명:

  • GCP 전용 CTF
  • 실제 취약점 시나리오
  • 무료

📖 블로그 & 연구 기관​

Rhino Security Labs​

Twitter: @RhinoSecurity 블로그: https://rhinosecuritylabs.com/blog/

주요 기여:

  • Pacu (AWS 침투테스트 프레임워크)
  • CloudGoat (취약한 AWS 환경)
  • 다양한 클라우드 보안 연구

추천 글:

  • AWS IAM 권한 상승 기법
  • Azure AD 공격 기법

NetSPI​

블로그: https://blog.netspi.com/ Twitter: Karl Fosaaen (@kfosaaen)

주요 기여:

  • MicroBurst (Azure 도구)
  • AWS 보안 연구
  • 실전 침투테스트 사례

NCC Group​

Twitter: @NCCGroupInfoSec GitHub: https://github.com/nccgroup

주요 기여:

  • ScoutSuite (멀티 클라우드 감사 도구)
  • SadCloud (취약한 AWS 환경)
  • 클라우드 보안 연구

SpecterOps​

블로그: https://posts.specterops.io/ Twitter: Ryan Hausknecht (@haus3c)

주요 기여:

  • Azure AD 공격 연구
  • BloodHound
  • 침투테스트 방법론

Lares Consulting​

블로그: https://www.lares.com/resources/blog/ Twitter: Lee Kagan (@invokethreatguy)

주요 기여:

  • 클라우드 침투테스트 사례
  • Azure/O365 보안

TrustedSec​

블로그: https://www.trustedsec.com/blog/ Twitter: Oddvar Moe (@Oddvarmoe)

주요 기여:

  • Living Off The Land (LOLBins)
  • 클라우드 공격 기법

👨‍💻 개인 블로그 & 연구자​

Dirk-jan Mollema​

Twitter: @_dirkjan 블로그: https://dirkjanm.io/

주요 기여:

  • ROADTools (Azure AD 프레임워크)
  • Azure AD 보안 연구
  • AD와 Azure 통합 공격

추천 글:

  • Azure AD Connect 공격
  • Azure AD 권한 상승

Sean Metcalf (Trimarc)​

Twitter: @PyroTek3 블로그: https://adsecurity.org/

주요 기여:

  • Active Directory 보안 전문가
  • Azure AD 연구
  • 하이브리드 환경 보안

Adam Chester​

Twitter: @xpn 블로그: https://blog.xpnsec.com/

주요 기여:

  • 레드팀 기법
  • 클라우드 공격 연구

Steve Borosh​

Twitter: @424f424f 블로그: https://medium.com/@rvrsh3ll

주요 기여:

  • Azure/O365 공격 기법
  • PowerShell 도구

Chris Moberly​

Twitter: @init_string GitLab: https://gitlab.com/gitlab-com/gl-security

주요 기여:

  • cloud_enum (공개 리소스 검색)
  • GitLab 보안

Mike Felch​

Twitter: @ustayready GitHub: https://github.com/ustayready

주요 기여:

  • FireProx (IP 회전 도구)
  • Azure/O365 보안

Zachary Rice​

Twitter: @zricethezav GitHub: https://github.com/zricethezav

주요 기여:

  • GitLeaks (비밀 정보 탐지)
  • 시크릿 스캐닝

📕 도서​

Pentesting Azure Applications​

저자: Matt Burrough (@mattburrough) 출판사: No Starch Press 링크: https://nostarch.com/azure

설명:

  • Azure 침투테스트 전문 서적
  • 실전 시나리오 중심
  • Azure AD, Storage, VM 등 전반적 다룸

추천 대상:

  • Azure 침투테스트 전문가 되고 싶은 분
  • 체계적인 학습 원하는 분

Hacking APIs​

저자: Corey Ball 출판사: No Starch Press

설명:

  • API 보안 및 침투테스트
  • 클라우드 API 포함

🛠️ 주요 도구 GitHub​

AWS​

Azure​

GCP​

멀티 클라우드​

시크릿 스캐닝​

📺 유튜브 & 강의​

Bugcrowd​

  • Bugcrowd University (무료 강의)
  • 클라우드 보안 섹션

SANS​

  • SEC588: Cloud Penetration Testing
  • 유료이지만 고품질

Conference Talks​

  • DEF CON Cloud Village
  • Black Hat 클라우드 트랙
  • AWS re:Inforce

📜 인증/자격증​

GIAC GCPN​

이름: GIAC Cloud Penetration Tester 기관: SANS

설명:

  • 클라우드 침투테스트 전문 자격증
  • AWS, Azure, GCP 포함

CCSP​

이름: Certified Cloud Security Professional 기관: (ISC)²

설명:

  • 클라우드 보안 전문가
  • 방어 중심이지만 유용

🔗 유용한 링크 모음​

공식 문서​

보안 가이드​

CIS 벤치마크​

🙏 감사의 말​

이 치트시트는 다음 분들과 조직의 연구와 도구 덕분에 만들어질 수 있었습니다:

  • Beau Bullock (@dafthack) - 원본 CloudPentestCheatsheets
  • Rhino Security Labs - AWS 침투테스트 선구자
  • NCC Group - ScoutSuite 및 다양한 도구
  • NetSPI - Azure 연구 및 MicroBurst
  • 모든 오픈소스 도구 개발자분들

그리고 클라우드 보안 커뮤니티의 모든 연구자분들께 감사드립니다.

💬 커뮤니티​

Discord​

  • Cloud Security Alliance Discord
  • HackTheBox Discord (클라우드 채널)

Reddit​

  • r/AWSsecurity
  • r/netsec

Twitter​

위에 언급된 모든 연구자들을 팔로우하세요!

⚠️ 법적 고지​

중요:

  • 이 자료는 교육 목적으로만 사용하세요
  • 권한이 없는 시스템에 접근하는 것은 불법입니다
  • 침투테스트는 반드시 서면 승인 후 진행하세요
  • 무단 사용 시 법적 책임을 질 수 있습니다

📝 기여​

이 문서에 오류가 있거나 개선사항이 있다면 알려주세요.

개선 제안:

  • 새로운 도구/기법
  • 오타/오류 수정
  • 추가 설명 요청
  • 번역 개선

🔄 업데이트 이력​

  • 2024년: 원본 CloudPentestCheatsheets 기반 한글화
  • 초급자를 위한 상세 설명 추가
  • 도구별 사용 시기 및 시나리오 추가