English
Español
Français
Deutsch
日本語
한국어
العربيةخريطة تصعيد الامتيازات في AWS
مسار الهجوم من Pathbreak لـ AWS
من إعداد Pathbreak Research · تم التحديث في أكتوبر 2026
أشمل مسار عام لأذونات AWS التي يمكن لمهاجم أن يُسلسلها للوصول إلى صلاحيات المسؤول أو البيانات أو الاستمرارية: كيف يُستخدم كل منها، وأحداث CloudTrail التي تلتقطه، وتقنية MITRE ATT&CK، والتغيير الواحد الذي يكسر المسار. يُتحقق من كل مسار مقابل تفويض حقيقي قبل أن تُبلغ عنه Pathbreak.
ابدأ من هنا
تركيبات تستحق المعرفة
كثير من أذونات AWS لا تصل إلى المسؤول إلا عندما تصطف مع غيرها. تلك التركيبات هي ما تميل مراجعة سياسة واحدة في كل مرة إلى تفويته. إليك بعضها. الخريطة الكاملة قابلة للبحث أدناه.
اختطاف user-data الخاص بـ EC2
يمكن لجهة أساسية إيقاف النسخة، وإعادة كتابة user-data الخاصة بها عبر ec2:ModifyInstanceAttribute، وتشغيلها مجدداً، وعند الإقلاع تشغّل النسخة برنامج user-data الخاص بالمهاجم بصفة دور ملف تعريف النسخة المرفق أصلاً، دون حاجة إلى iam:PassRole. ملف تعريف نسخة ذو امتياز يعني تنفيذ تعليمات برمجية عشوائية بصفة ذلك الدور، أي تصعيد كامل للامتيازات ضد جهاز كان موثوقاً أصلاً.
اختطاف دور حزمة CloudFormation عبر مجموعة تغييرات
يمكن لكيان رئيسي أن يستدعي cloudformation:CreateChangeSet وcloudformation:ExecuteChangeSet على حزمة CloudFormation موجودة تحمل بالفعل دور الخدمة. وبتجهيز قالب معدّل كمجموعة تغييرات وتنفيذها، يجعل الكيان الرئيسي CloudFormation يطبّق تغييرات المهاجم باستخدام الدور المستهدف، دون الحاجة إلى iam:PassRole، لأن الدور المستهدف مرتبط بالفعل بالحزمة. ويعني دور الخدمة المميز أن قالب المهاجم يمكنه توفير موارد المسؤول: تصعيد كامل للامتيازات ضد حزمة كانت موثوقة بالفعل.
اختطاف دور المثيل عبر أمر SSM
يمكن لجهة أساسية استدعاء ssm:SendCommand لتشغيل مستند AWS-RunShellScript على نسخة مُدارة بواسطة SSM تحمل أصلاً دور ملف تعريف النسخة، لتنفيذ أوامر المهاجم التي تقرأ بيانات الاعتماد الحية للنسخة من IMDS وترسلها إلى الخارج، دون تفاعل، ودون جلسة صدفة أو مفتاح أو منفذ مفتوح. ولأن النسخة مرتبطة أصلاً بالجهاز، فإن تنفيذ الأوامر عليها يكفي لسرقة الدور، دون حاجة إلى iam:PassRole. إذا كانت النسخة ذات امتياز فهذا تصعيد كامل للامتيازات ضد نسخة كانت موثوقة أصلاً، ويمكن برمجته عبر نسخ كثيرة دفعة واحدة.
افحص حسابك أنت مقابل هذه المسارات. pathbreak-audit هي أداة سطر الأوامر المجانية ومفتوحة المصدر الخاصة بنا للمدافعين: وجّهها إلى حساب AWS للقراءة فقط، فتُظهر لك الأدوار والمستخدمين الخطرين، وبالضبط ما يجب قطعه.
pip install pathbreak-audit
ابحث حسب الإذن أو الخدمة أو تقنية MITRE. تضيّق الكلمات المتعددة النتائج.
لا توجد أذونات تطابق ذلك المرشّح.
جارٍ تحميل الخريطة...
ما الذي تُظهره البيانات
أنماط عبر كل مسار في الخريطة. تصف هذه أين يتركّز تصعيد الامتيازات في AWS وأين يحصل المدافع على أكبر تغطية مقابل أقل تغيير. كل نسبة مئوية هي حصة مدخلات هذه الخريطة التي تتصف بهذه الخاصية، محسوبة من فهرس الخريطة نفسه، لذا تصف الأرقام المسارات الموثقة ولا تقول شيئاً عن أي حساب AWS بعينه.
من مسارات تصعيد الامتيازات في الخريطة تعتمد على iam:PassRole. وiam:PassRole هو الإذن الأكثر إعادة استخدام عبر مجموعة البيانات. ويظهر في مسارات تصل إلى 23 خدمة AWS، لأن كل خدمة تشغّل أعباء العمل نيابةً عنك ستقبل دوراً تسلّمه إياها. ويزيل تقييد iam:PassRole إلى ARNs أدوار محددة وتثبيت iam:PassedToService معظم هذه دفعةً واحدة.
لا تحتاج سوى إذن واحد للوصول إلى التأثير. فمعظم المسارات في الخريطة تتطلب إجراءً واحداً مفرط الاتساع. أما البقية فتعتمد على مجموعة من إذنين أو أكثر مُمتلكة معاً. وتعالج مراجعة أقل امتياز للإجراءات الفردية النصيب الأكبر.
من إصلاحات تصعيد الامتيازات هي تغيير في النطاق أو الشرط وليست إزالة. فالتغيير الموصى به عادةً هو تقييد الإذن (نطاق مورد، أو شرط iam:PassedToService، أو ضابط وقائي على مستوى المؤسسة) بدلاً من إزالته، فيحتفظ الفريق بالقدرة بينما يُغلق المسار.
من المسارات يمكن رصدها من حدث CloudTrail واحد. ويسرد كل مدخل أحداث مستوى الإدارة التي تسجّل الإجراء. ويقابل معظمها حدثاً واحداً، لذا يمكن كتابة قواعد الكشف لكل مسار دون ربط ثقيل.
تؤدي أيضاً دور آلية استمرارية. فنسبة كبيرة من هذه الإجراءات تتيح للمهاجم الاحتفاظ بالوصول بعد إغلاق نقطة الدخول الأولية (بيانات اعتماد دائمة، أو تغيير في MFA، أو تعديل في الثقة). وتستحق هذه التنبيه عليها حتى عندما تبدو إدارة روتينية.
هي خطوات للتهرب من الدفاعات موجَّهة ضد التسجيل والضوابط الوقائية الخاصة بك. إيقاف CloudTrail، أو تعطيل GuardDuty أو Security Hub، أو حذف سجلات التدفق، أو فصل سياسة SCP، يظهر كلٌّ منها كمدخل مستقل. وهي إجراءات باستدعاء واحد، لذا فإن الرفض (Deny) على أدوات الأمان هو أنظف ضابط.
من يستخدم هذه المسارات؟ تظهر الخطوات نفسها في حوادث سحابية حقيقية. اطّلع على المجموعات التي تقف وراءها في جهات التهديد السحابية reference.
اطّلع على أي من هذه موجود في حسابك
يتصل Pathbreak بدور للقراءة فقط، ويجد المسارات التي تتحقق مقابل تفويضك الحقيقي، ويرتّب التغييرات القليلة التي تقطع الأكثر. حساب واحد، فحص واحد، أول المسارات المتحقَّق منها خلال ساعة.
أسئلة
ما هي أخطر أذونات AWS IAM؟
الأذونات التي تتيح لمبدأ أن يغيّر من يستطيع فعل ماذا، أو أن يُشغّل شيفرة بدور أعلى امتيازاً: iam:PutRolePolicy وiam:AttachRolePolicy وiam:CreatePolicyVersion وiam:UpdateAssumeRolePolicy وiam:PassRole مقترناً بخدمة حوسبة. يسرد هذا المسار كل إذن تتعقبه Pathbreak، والتغيير الذي يكسر المسار.
لماذا يُعدّ iam:PassRole خطيراً؟
يتيح iam:PassRole لكيان تسليم دور IAM إلى خدمة AWS. وإذا مُنح على مورد بأحرف بدل (wildcard)، يمرّر المهاجم دوراً ذا امتيازات إلى خدمة يمكنه تشغيلها (EC2 وLambda وECS وغيرها) ويرث ذلك الدور. قيّد iam:PassRole إلى ARNs أدوار محددة وثبّت iam:PassedToService.
كيف أمنع تصعيد الامتيازات في AWS؟
حدّد نطاق iam:PassRole، وأبقِ حدود الأذونات على الأدوار، وارفض تعديلات سياسة IAM والثقة خارج دور إدارة التغيير، ونبّه عند أحداث CloudTrail المدرجة هنا. يتحقق Pathbreak من المسارات التي تتحقق في حسابك ويرتّب التغييرات القليلة التي تقطع أكبر قدر.
هل يغطي هذا أكثر من تصعيد الامتيازات؟
نعم. فهي تشمل أيضاً الوصول إلى بيانات الاعتماد، والتهرب من الدفاعات، وكشف الموارد، والوصول إلى البيانات، والاستمرارية، لأن مسارات الهجوم الحقيقية تعبر هذه الفئات في طريقها إلى التأثير.
ما هي خريطة تصعيد الامتيازات في AWS؟
هو مرجع عام لأذونات AWS التي يمكن للمهاجم تسلسلها للوصول إلى الصلاحيات الإدارية أو البيانات أو الاستمرارية. لكل إذن صفحته الخاصة توضّح كيفية استخدامه، وأحداث CloudTrail التي ترصده، وتقنية MITRE ATT&CK، والضابط الذي يزيل المسار. وهو النسخة العامة مما يحلّله Pathbreak داخل الحساب.
لمن هذا؟
مهندسو أمن السحابة، ومهندسو الكشف، وفرق الاختبار الهجومي (red teams)، وكل من يكتب سياسات IAM. استخدمه لفهم ما يفتحه الإذن قبل منحه، أو لبناء قواعد الكشف، أو لنمذجة تهديدات حساب.
كيف أستخدمه؟
ابحث حسب الإذن أو الخدمة أو مجموعة من الأذونات. افتح أي مُدخل لترى سلسلة الهجوم، وأحداث الكشف التي يمكنك التنبيه عليها اليوم، وتقنية MITRE، والتغيير الذي يكسر المسار. كل صفحة مرجع مستقل يمكنك الربط إليه.
كيف يختلف الإذن الواحد عن التركيب السام؟
بعض الأذونات تمنح التصعيد بمفردها. وكثير منها لا يفعل ذلك إلا عند حيازته مع أذونات أخرى، على سبيل المثال iam:PassRole مع إجراء خدمة. هذه التركيبات هي التي تميل المراجعة سياسةً واحدة في كل مرة إلى تفويتها، لذا يصنّف المسار كل مدخل ويتيح لك التصفية لعرض التركيبات فقط.
هل هذه هي القائمة الكاملة لأذونات AWS الخطيرة؟
تغطي المسارات التي يتتبّعها Pathbreak اليوم، ونبقيها محدّثة مع إطلاق AWS خدمات جديدة. إذا رأيت أن شيئاً ناقص أو خاطئ، راسلنا على hello@pathbreak.io وسننظر فيه.
كيف يستخدم Pathbreak هذا في حسابي؟
يتصل Pathbreak بوضع القراءة فقط، ويحلّل سياسات IAM وأدوارك وعلاقات الثقة الحقيقية، ويؤكّد أيٌّ من هذه المسارات موجود فعلاً لهوياتك. ويرتّبها حسب مقدار ما يفتحه كل منها، ومع نموذج التهديد وسياق عملك، يُظهر التغييرات القليلة التي تقطع الأكثر. تعود أول المسارات المتحقَّق منها خلال ساعة.
رموز الخدمات مبنية على مجموعة AWS Architecture Icons، وأعيد تلوينها لتمييز كل خدمة. AWS وأسماء الخدمات علامات تجارية لـ Amazon Web Services. Pathbreak غير تابعة لـ AWS ولا معتمدة منها.