تصعيد الامتيازات EKS T1098.003 الاستمرارية

منح النفس صلاحية مسؤول مجموعة EKS عبر إدخال وصول

يمكنه ربط نفسه بعنقود EKS بصفة Kubernetes cluster-admin، فيصل إلى أدوار AWS الخاصة به.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

eks:CreateAccessEntryeks:AssociateAccessPolicy
الخلاصة الأساسية

يمكن لـ eks:CreateAccessEntry ربط نفسه بعنقود EKS بصفة Kubernetes cluster-admin، فيصل إلى أدوار AWS الخاصة به، لكن فقط عند امتلاكه مع eks:AssociateAccessPolicy. ومعاً يصلان إلى وصول المسؤول.

CreateAccessEntry grants admin 01 Attacker principal 02 Permissions changed 03 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي eks:CreateAccessEntry لتعيين كيان IAM الخاص به على المجموعة، ثم eks:AssociateAccessPolicy (AmazonEKSClusterAdminPolicy) ليصبح مسؤول مجموعة Kubernetes - لمجموعة لم يكن له بها وصول مسبق. يمكن لمسؤول المجموعة جدولة pod بصفة أي حساب خدمة، واصلاً إلى دور مجموعة العقد، وكل دور IRSA، وكل دور Pod Identity تواجهه المجموعة.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.003، التلاعب بالحساب: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateAccessEntry, AssociateAccessPolicy. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.

الكشف

CreateAccessEntryAssociateAccessPolicy

المتطلبات المسبقة

eks:CreateAccessEntry + eks:AssociateAccessPolicy على عنقود يكون authenticationMode فيه API أو API_AND_CONFIG_MAP؛ وإمكانية الوصول إلى نقطة نهاية Kubernetes API.

MITRE ATT&CK

T1098.003 · التلاعب بالحسابات: أدوار سحابية إضافية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر eks:CreateAccessEntry / eks:AssociateAccessPolicy على دور طوارئ (break-glass)، واشتراط مصادقة CONFIG_MAP فقط على العناقيد الحساسة، والتنبيه عند إدخالات الوصول الجديدة.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح eks:CreateAccessEntry؟

يمكنه ربط نفسه بعنقود EKS بصفة Kubernetes cluster-admin، فيصل إلى أدوار AWS الخاصة به.

ما الذي يلزم أيضاً لكي يصبح eks:CreateAccessEntry خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع eks:AssociateAccessPolicy. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف منح الذات صلاحية cluster-admin في EKS عبر إدخال وصول؟

راقب CreateAccessEntry, AssociateAccessPolicy في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر eks:CreateAccessEntry / eks:AssociateAccessPolicy على دور break-glass؛ واشترط مصادقة CONFIG_MAP فقط على المجموعات الحساسة؛ وفعّل إنذاراً على إدخالات الوصول الجديدة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1098.003، التلاعب بالحسابات: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهاتمرير الدور إلى EKS Pod Identityiam:PassRoleالتقنية نفسهاإرفاق سياسة المسؤول بدورiam:AttachRolePolicyالتقنية نفسهاإرفاق سياسة المسؤول بمستخدمiam:AttachUserPolicyالتقنية نفسهاإنشاء إصدار السياسة الافتراضيiam:CreatePolicyVersionالتقنية نفسهاوضع سياسة دور مضمّنةiam:PutRolePolicyالتقنية نفسهاوضع سياسة مستخدم مضمّنةiam:PutUserPolicy

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق