Translated ['src/pentesting-cloud/aws-security/aws-persistence/aws-sts-p

src/pentesting-cloud/pentesting-cloud-methodology.md

@@ -4,7 +4,7 @@
 
 <figure><img src="../images/CLOUD-logo-letters.svg" alt=""><figcaption></figcaption></figure>
 
-## Osnovna metodologija
+## Basic Methodology
 
 Svaka cloud platforma ima svoje specifičnosti, ali generalno postoji nekoliko **zajedničkih stvari koje pentester treba da proveri** prilikom testiranja cloud okruženja:
 
@@ -16,29 +16,29 @@ Svaka cloud platforma ima svoje specifičnosti, ali generalno postoji nekoliko *
 - Ovo će vam omogućiti da znate **šta se tačno koristi** u cloud okruženju
 - Ovo će mnogo pomoći u sledećim koracima
 - **Proverite izložene resurse**
-- Ovo se može uraditi tokom prethodne sekcije, potrebno je da **otkrijete sve što je potencijalno izloženo** internetu i kako može biti pristupljeno.
-- Ovde mislim na **ručno izloženu infrastrukturu** kao što su instance sa web stranicama ili drugi portovi koji su izloženi, kao i na druge **cloud upravljane usluge koje se mogu konfigurisati** da budu izložene (kao što su DB-ovi ili bucket-i)
+- Ovo se može uraditi tokom prethodne sekcije, morate **otkriti sve što je potencijalno izloženo** internetu i kako se može pristupiti.
+- Ovde mislim na **ručno izloženu infrastrukturu** kao što su instance sa web stranicama ili drugi portovi koji su izloženi, kao i na druge **usluge u cloudu koje se mogu konfigurisati** da budu izložene (kao što su DB-ovi ili bucket-i)
 - Zatim treba da proverite **da li taj resurs može biti izložen ili ne** (povjerljive informacije? ranjivosti? greške u konfiguraciji izložene usluge?)
 - **Proverite dozvole**
 - Ovde treba da **otkrijete sve dozvole svake uloge/korisnika** unutar clouda i kako se koriste
 - Previše **visoko privilegovanih** (kontrolišu sve) naloga? Generisani ključevi koji se ne koriste?... Većina ovih provera bi već trebala biti izvršena u testovima standarda
 - Ako klijent koristi OpenID ili SAML ili neku drugu **federaciju**, možda ćete morati da ih pitate za dodatne **informacije** o tome **kako se dodeljuju svake uloge** (nije isto da je admin uloga dodeljena 1 korisniku ili 100)
 - **Nije dovoljno pronaći** koji korisnici imaju **admin** dozvole "\*:\*". Postoji mnogo **drugih dozvola** koje, u zavisnosti od korišćenih usluga, mogu biti veoma **osetljive**.
-- Štaviše, postoje **potencijalni putevi za privesc** koje treba pratiti zloupotrebom dozvola. Sve ove stvari treba uzeti u obzir i **što više puteva za privesc koliko je moguće** treba prijaviti.
+- Štaviše, postoje **potencijalni putevi za eskalaciju privilegija** koji se mogu iskoristiti zloupotrebom dozvola. Sve ove stvari treba uzeti u obzir i **prijaviti što više puteva za eskalaciju privilegija**.
 - **Proverite integracije**
 - Veoma je verovatno da se **integracije sa drugim cloud-ovima ili SaaS** koriste unutar cloud okruženja.
-- Za **integracije clouda koji audirate** sa drugom platformom, trebate obavestiti **ko ima pristup da (zlo)upotrebi tu integraciju** i trebate pitati **kako je osetljiva** akcija koja se vrši.\
-Na primer, ko može da piše u AWS bucket gde GCP dobija podatke (pitajte koliko je osetljiva akcija u GCP-u koja se bavi tim podacima).
-- Za **integracije unutar clouda koji audirate** sa eksternih platformi, trebate pitati **ko ima eksterni pristup da (zlo)upotrebi tu integraciju** i proveriti kako se ti podaci koriste.\
-Na primer, ako usluga koristi Docker sliku hostovanu u GCR, trebate pitati ko ima pristup da to izmeni i koje osetljive informacije i pristup će ta slika dobiti kada se izvrši unutar AWS clouda.
+- Za **integracije clouda koji audirate** sa drugom platformom, trebate obavestiti **ko ima pristup da (zloupotrebi) tu integraciju** i trebate pitati **kako je osetljiva** akcija koja se izvršava.\
+Na primer, ko može da piše u AWS bucket gde GCP dobija podatke (pitajte koliko je osetljiva akcija u GCP-u koja obrađuje te podatke).
+- Za **integracije unutar clouda koji audirate** sa eksternih platformi, trebate pitati **ko ima eksterni pristup da (zloupotrebi) tu integraciju** i proveriti kako se ti podaci koriste.\
+Na primer, ako usluga koristi Docker sliku hostovanu u GCR-u, trebate pitati ko ima pristup da to izmeni i koje osetljive informacije i pristup će ta slika dobiti kada se izvrši unutar AWS clouda.
 
-## Multi-Cloud alati
+## Multi-Cloud tools
 
 Postoji nekoliko alata koji se mogu koristiti za testiranje različitih cloud okruženja. Koraci instalacije i linkovi će biti navedeni u ovoj sekciji.
 
 ### [PurplePanda](https://github.com/carlospolop/purplepanda)
 
-Alat za **identifikaciju loših konfiguracija i puteva za privesc u cloud-ovima i između cloud/SaaS.**
+Alat za **identifikaciju loših konfiguracija i puteva za eskalaciju privilegija u cloud-ovima i između cloud/SaaS.**
 
 {{#tabs }}
 {{#tab name="Install" }}
@@ -255,7 +255,7 @@ sudo mv cloudlist /usr/local/bin
 ```
 {{#endtab }}
 
-{{#tab name="Drugi Tab" }}
+{{#tab name="Second Tab" }}
 ```bash
 ## For GCP it requires service account JSON credentials
 cloudlist -config </path/to/config>
@@ -362,7 +362,7 @@ uri: bolt://localhost:7687
 ### [**SkyArk**](https://github.com/cyberark/SkyArk)
 
 Otkrivanje najprivilegovanijih korisnika u skeniranom AWS ili Azure okruženju, uključujući AWS Shadow Admins. Koristi powershell.
-```powershell
+```bash
 Import-Module .\SkyArk.ps1 -force
 Start-AzureStealth
 
@@ -376,11 +376,11 @@ Alat za pronalaženje infrastrukture, fajlova i aplikacija kompanije (meta) na v
 
 ### [CloudFox](https://github.com/BishopFox/cloudfox)
 
-- CloudFox je alat za pronalaženje eksploatabilnih putanja napada u cloud infrastrukturi (trenutno podržani samo AWS i Azure, GCP dolazi uskoro).
+- CloudFox je alat za pronalaženje iskoristivih puteva napada u cloud infrastrukturi (trenutno podržani samo AWS i Azure, GCP dolazi uskoro).
 - To je alat za enumeraciju koji je namenjen da dopuni manuelni pentesting.
 - Ne kreira niti modifikuje bilo kakve podatke unutar cloud okruženja.
 
-### Više lista cloud bezbednosnih alata
+### Više lista alata za cloud bezbednost
 
 - [https://github.com/RyanJarv/awesome-cloud-sec](https://github.com/RyanJarv/awesome-cloud-sec)