التراجع إلى نسخة السياسة الافتراضية السابقة

يمكنه إرجاع سياسة مُدارة مرفقة إلى إصدار محفوظ أكثر تساهلًا.

يمنح التصعيد بمفرده.

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي iam:SetDefaultPolicyVersion على السياسة المُدارة من قبل العميل المرفقة لترقية أحد إصداراتها المخزّنة غير الافتراضية إلى الافتراضي. يحتفظ IAM بما يصل إلى خمسة إصدارات من السياسة؛ وإذا وُجد إصدار أقدم أكثر تساهلاً (مثل منح مسؤول سابق)، فإن إعادته إلى الافتراضي توسّع بصمت الأذونات الفعلية لكل ما يرتبط به الكيان الرئيسي، بما في ذلك الكيان الرئيسي نفسه، دون كتابة أي مستند سياسة جديد. ولا يمكن إصدار نسخ من السياسات المُدارة من AWS، لذا تُستهدف السياسات المُدارة من قبل العميل فقط.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.003، التلاعب بالحساب: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم SetDefaultPolicyVersion. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.

أسئلة

المسارات ذات الصلة

المراجع

• https://attack.mitre.org/techniques/T1098/003/