English
Español
Français
Deutsch
日本語
한국어
العربيةفتح صدفة ECS Exec
يمكنه فتح shell تفاعلي عبر ECS Exec داخل حاوية قيد التشغيل.
يمنح التصعيد بمفرده.
ecs:ExecuteCommandبمفرده، يستطيع ecs:ExecuteCommand فتح صدفة ECS Exec تفاعلية داخل حاوية قيد التشغيل. وفي نطاق موارد واسع يكفي ذلك وحده للوصول الإداري.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي ecs:ExecuteCommand لفتح صدفة تفاعلية داخل الحاوية قيد التشغيل عبر ECS Exec، دون مفتاح SSH ودون منفذ مجموعة أمان مفتوح ودون iam:PassRole، متجاوزاً المسار الشبكي بالكامل. وهذا يتيح تنفيذ كود داخل الحاوية، ومنه يمكن للكيان الرئيسي قراءة بيانات اعتماد دور المهمة المؤقتة من نقطة نهاية بيانات مهمة ECS والتمحور أبعد داخل الحساب.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1651، أمر إدارة السحابة، ضمن تكتيك الحركة الجانبية. يسجّله AWS في CloudTrail باسم ExecuteCommand. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.
الكشف
ExecuteCommandالمتطلبات المسبقة
المهمة الهدف في حالة RUNNING مع enableExecuteCommand=true وتحمل دور مهمة أو دور تنفيذ.
MITRE ATT&CK
T1651 · أمر إدارة سحابيةتكتيك
الحركة الجانبية
من الضوابط التي قد تزيله: قصر ecs:ExecuteCommand على كيانات الطوارئ (break-glass)، مع تعطيل ECS Exec (enableExecuteCommand=false) على المهام التي لا تحتاج إليه.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح ecs:ExecuteCommand؟
يمكنه فتح shell تفاعلي عبر ECS Exec داخل حاوية قيد التشغيل.
هل يمكن لـ ecs:ExecuteCommand تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.
كيف يتم كشف فتح واجهة أوامر ECS Exec؟
راقب ExecuteCommand في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر ecs:ExecuteCommand على كيانات break-glass الرئيسية؛ وعطّل ECS Exec (enableExecuteCommand=false) على المهام التي لا تحتاجه. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1651، أمر إدارة سحابية، ضمن تكتيك الحركة الجانبية.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.