journal de bord d'un mec qui apprend la sécu cloud. write-ups CloudGoat détaillés, labs IAM/VPC montés from scratch, et les loupés que personne ne montre. zéro hype, juste le chemin réel.
Un manager qui peut tagger des users et créer des access keys. Une condition sur un tag. Une rotation de clé sur le mauvais compte. C'est tout ce qu'il faut pour atteindre Secrets Manager.
Un topic SNS mal configuré suffit pour récupérer une clé d'API en se contentant de s'abonner à une notification. Walkthrough complet du scénario sns_secrets de CloudGoat.
Des credentials hardcodés dans Beanstalk, un CreateAccessKey trop large : deux mauvaises pratiques IAM qui suffisent à prendre le contrôle d'un compte AWS.
EC2 User Data, IMDSv1, Lambda env vars : comment enchaîner trois mauvaises pratiques AWS pour compromettre un secret en cinq étapes.
Enumération IAM AWS avec CloudGoat : récupérer des credentials et trouver 5 flags cachés dans les métadonnées des ressources.
Je me forme à la cloud security. Voici exactement ce que j'ai fait, les erreurs que j'ai faites, et ce que j'en ai retenu.