English
Español
Français
Deutsch
日本語
한국어
العربيةتدوير مفتاح الوصول لسكّ بيانات اعتماد لمستخدم
يمكنه تدوير مفتاح لسكّ مفتاح وصول جديد لمستخدم.
يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:
iam:CreateAccessKeyiam:DeleteAccessKeyيمكن لـ iam:CreateAccessKey استبدال مفتاح لإنشاء مفتاح وصول جديد لمستخدم، لكن فقط عند امتلاكه مع iam:DeleteAccessKey. ومعاً يصلان إلى بيانات اعتماد قابلة للاستخدام.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي iam:DeleteAccessKey لإزالة أحد مفاتيح وصول المستخدم الحالية ثم iam:CreateAccessKey لسكّ مفتاح جديد طويل الأجل تحت سيطرة الكيان الرئيسي، دون معرفة أي من أسرار المستخدم المستهدف. وخلافاً لسكّ المفاتيح البسيط، يتجاوز الحذف المضاف حدّ AWS البالغ مفتاحَي وصول لكل مستخدم، لذا يعمل هذا حتى عندما يحمل المستخدم المستهدف بالفعل الحد الأقصى وهو مفتاحان. ومن ثم يصادق الكيان الرئيسي API بصفة المستخدم المستهدف؛ والمفتاح الجديد مستقل عن بيانات اعتماد المستخدم المستهدف الأخرى، لذا فهو استيلاء على الحساب وموطئ قدم دائم للاستمرارية معاً.
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.001، التلاعب بالحساب: بيانات اعتماد سحابية إضافية، ضمن تكتيك الاستمرارية. يسجّله AWS في CloudTrail باسم CreateAccessKey, DeleteAccessKey. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.
الكشف
CreateAccessKeyDeleteAccessKeyالمتطلبات المسبقة
يملك iam:DeleteAccessKey إضافة إلى iam:CreateAccessKey، فيعمل حتى عندما يكون لدى المستخدم المستهدف الحد الأقصى من المفاتيح وهو 2 (حيث يفشل CreateAccessKey وحده).
تكتيك
الاستمرارية
من الضوابط التي قد تزيله: إزالة iam:CreateAccessKey و iam:DeleteAccessKey من الكيان.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح iam:CreateAccessKey؟
يمكنه تدوير مفتاح لسكّ مفتاح وصول جديد لمستخدم.
ما الذي يلزم أيضاً لكي يصبح iam:CreateAccessKey خطيراً؟
لا يصبح تصعيداً إلا عند امتلاكه مع iam:DeleteAccessKey. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.
كيف يتم كشف تدوير مفتاح الوصول لتوليد بيانات اعتماد للمستخدم؟
راقب CreateAccessKey, DeleteAccessKey في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: أزل iam:CreateAccessKey وiam:DeleteAccessKey من الكيان الرئيسي. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1098.001، التلاعب بالحسابات: بيانات اعتماد سحابية إضافية، ضمن تكتيك الاستمرارية.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.