Постановка проблемы

Некоторое время назад я решил актуализировать свои знания в пентесте (pentest).

Составил план, который включал, как теоретический аспект, так и практический: применение полученных знаний на практике и закрепление их. С теоретической частью было все понятно: книги, курсы и т.д., в интернете масса материалов и ресурсов – читай не хочу.

Практическая часть должна быть в виде пентест лаборатории с блэк-джеком и непотребствами из нескольких машин с различными уязвимостями.

С практикой оказалось сложнее из-за существующего лично у меня ограничения — нет возможности сделать тестовый стенд дома/на работе.

Обдумав проблему с разных сторон еще раз, я обратил свой взор в небо Аустерлица в облака… ранее я пользовался облачными ресурса Microsoft Azure.

Быстрый поиск в Google дал неплохой улов: Google Cloud, Microsoft Azure, AWS Amazon, Oracle Ravellosystems.

Указанные сервисы условно бесплатно позволяют воспользоваться их ресурсами, даже есть возможность из подготовленного образа поднять машину Kali Linux (у Amazon, Microsoft).

Первый подход к снаряду

Поскольку в разрезе создания виртуальной лаборатории ни один из ресурсов не использовался, то я начал по списку:

Кандидат №1: Google, заявление о 300 $ бесплатно, выглядело заманчиво, но закончилось все плохо на этапе регистрации – работаем только с юридическими лицами. Лицом не вышел.



Кандидат №2: Microsoft Azure – тоже 300 $ на попробовать сервис, но только не для меня, эти кредиты были потрачены ранее на другие проекты, поэтому пришлось за свои собственные средства оплачивать виртуальную машину.



Кроме того, как и Amazon Microsoft предоставляет 750 часов работы ежемесячно в течении года с момента регистрации.

Есть образ машины Kali Linux.

Кандидат №3: Amazon AWS – выдает 750 часов работы ежемесячно на год бесплатно, но с сильно урезанными машинами, есть образ машины Kali Linux.



Кандидат №4: Oracle – 300 $ на 1 месяц, возможность загрузить собственный образ.

Крокодил более длинный, чем широкий

Microsoft Azure

Поскольку с Google сразу не сложилось, перейдем сразу к кандидату № 2 Microsoft.

Регистрация
Аккаунт уже был дополнительной регистрации не потребовалось.

Интерфейс
Панель управления достаточно наглядна и информативна, хотя на мой взгляд, несколько перегружен деталями, позволяющими настроить необходимое.

Картинка кликабельна

Скриншот интерфейса MS Azure

Создание виртуальной машины
Виртуальную машину поднял быстро и без особых усилий.
Вот ссылка на руководство.

Контроль расходов
В различных информационных разрезах, хорошо видно куда и как потрачены средства.

AWS Amazon

Регистрация
Регистрация не сложная, потребуется дополнительно для проверки банковская карта и телефон.

Интерфейс
Интерфейс проще чем, в MS Azure, все необходимы настройки доступны.

Картинка кликабельна.

Скриншот интерфейса AWS Amazon

Создание виртуальной машины
Виртуальную машину поднял быстро стандартного дистрибутива. Виртуальную машину также можно запустить из собственного дистрибутива.

Стоит отметить, что для доступа к виртуальной машине необходимо создать пару ключей, на основе закрытого ключа будет получен пароль администратора.

Контроль расходов
Скажу так: без особенностей.

Oracle Ravellosystems

Регистрация
Регистрация аналогична предыдущим участникам.

Интерфейс
Уделено большое внимание визуальной составляющей, при этом есть необходимые настройки, хотя не всегда очевидно, где нужный элемент находится и как работает.

Картинка кликабельна.

Скриншот интерфейса Oracle Ravello

Создание виртуальной машины
Можно использовать уже преднастроенный образ или загрузить свой собственный дистрибутив.
Виртуальную машину поднял быстро из собственного дистрибутива.
Инструкция по разворачиванию виртуальной машины.

Контроль расходов
Самое главное видно – сколько и за что должен денег.

Особенности
Хорошая визуальная составляющая. Все ЦОДы находятся в США, поэтому связь не мгновенная.

Я имею вам сказать

Окончательный выбор пал на Oracle. Закачал и установил образ Kali Linux в облако Oracle. Поскольку мне также требовался RDP в Kali, использовал команды из инструкции для настройки.

Сводная таблица

Сервис	Условия оплаты	Интерфейс	Прочее
MS Azure	300 $ при регистрации впервые	Достаточно сложный	нет
AWS Amazon	750 часов работы ежемесячно на год	Относительно простой	нет
Oracle	300 $ на месяц при регистрации	Простой/визуальный	ЦОДы в США

Заключение

В заключении необходимо отметить следующее. Если необходима просто виртуальная машина для проведение пентеста, разница между сервисами не велика, лично мне понравился MS Azure.

Если необходимо создать лабораторию из нескольких виртуальных машин, на собственных образах, то стоит обратить внимание на Oracle с сервисом bring your own image, но аналогичные возможности по загрузке образов есть у MS Azure и AWS Amazon.

Существуют уже подготовленные образы уязвимых систем для тренировок, например,
Metasploitable

Существует неплохая книга: «Professional Penetration Testing: Creating and Learning in a Hacking Lab» автор Thomas Wilhelm.

Обратите внимание, что некоторые компании, которые предоставляют образы машин для пентестеров, требуют получения разрешения на такую деятельность. Вот политика AWS Amazon в качестве примера.

Кроме этого, есть платные пентест лаборатории как для компаний, так и для частных лиц.

P.S. В процессе поиска материала для статьи нашел хорошее сравнение облачных сервисов. Публикация датируется июлем 2016 года, но в любом случаем может быть полезно ознакомиться.