الوصول إلى البيانات ECR T1530

سحب صورة ECR

يمكنه سحب وقراءة الصور من مستودع ECR.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

ecr:BatchGetImageecr:GetDownloadUrlForLayer
الخلاصة الأساسية

يمكن لـ ecr:BatchGetImage سحب وقراءة الصور من مستودع ECR، لكن فقط عند امتلاكه مع ecr:GetDownloadUrlForLayer. ومعاً يصلان إلى البيانات نفسها.

BatchGetImage reads data 01 Attacker principal 02 Data store 03 Data read
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لجهة أساسية سحب الصور من المستودع (ecr:BatchGetImage + ecr:GetDownloadUrlForLayer)، ويُتحقق منه مقابل سياسة هوية الجهة الأساسية وسياسة المستودع معاً. كثيراً ما تدمج صور الحاويات بيانات اعتماد ورموزاً وشفرة مصدرية، فسحب إحداها تسريب للبيانات أو الأسرار.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1530، البيانات من التخزين السحابي، ضمن تكتيك الجمع. يسجّله AWS في CloudTrail باسم BatchGetImage, GetDownloadUrlForLayer. الاستدعاء هادئ مقابل النشاط العادي، لذا يسهل تفويته دون قاعدة لرصده.

الكشف

BatchGetImageGetDownloadUrlForLayer

المتطلبات المسبقة

ecr:BatchGetImage + ecr:GetDownloadUrlForLayer على المستودع (من الهوية أو من سياسة المستودع)؛ وecr:GetAuthorizationToken (على مستوى الحساب).

MITRE ATT&CK

T1530 · البيانات من التخزين السحابي

تكتيك

الجمع

كسر المسار

من الضوابط التي قد تزيله: تحديد نطاق ecr:BatchGetImage / ecr:GetDownloadUrlForLayer وسياسة المستودع.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح ecr:BatchGetImage؟

يمكنه سحب وقراءة الصور من مستودع ECR.

ما الذي يلزم أيضاً لكي يصبح ecr:BatchGetImage خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع ecr:GetDownloadUrlForLayer. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف سحب صورة ECR؟

راقب BatchGetImage, GetDownloadUrlForLayer في CloudTrail. الاستدعاء خافت مقابل النشاط الاعتيادي، لذا يسهل تفويته دون قاعدة له.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: حدّد نطاق ecr:BatchGetImage / ecr:GetDownloadUrlForLayer وسياسة المستودع. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1530، البيانات من التخزين السحابي، ضمن تكتيك الجمع.

المسارات ذات الصلة

التقنية نفسهاسياسة مورد يمكن الوصول إليها بشكل عامIAMالتقنية نفسهامنح قراءة الدلو عبر ACLs3:PutBucketAclالتقنية نفسهامنح قراءة الكائن عبر ACLs3:PutObjectAclالتقنية نفسهاقراءة دلو ممنوح لحساب AWS خارجيS3التقنية نفسهافك التشفير بمفتاح KMS ممنوح لحساب AWS خارجيKMSالتقنية نفسهاقراءة سر ممنوح لحساب AWS خارجيSecrets Manager

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق