English
Español
Français
Deutsch
日本語
한국어
العربيةإصدار بيانات اعتماد قاعدة بيانات Redshift عبر IAM
يمكنه سكّ تسجيل دخول مؤقت إلى قاعدة بيانات IAM وقراءة عنقود Redshift.
يمنح التصعيد بمفرده.
redshift:GetClusterCredentialsبمفرده، يستطيع redshift:GetClusterCredentials إنشاء تسجيل دخول مؤقت لقاعدة بيانات عبر IAM وقراءة مجموعة Redshift. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى البيانات نفسها.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي redshift:GetClusterCredentials على المجموعة ليجعل AWS يسكّ اسم مستخدم وكلمة مرور قاعدة بيانات قصيري الأجل مرتبطين بهوية IAM للكيان الرئيسي، ثم يتصل بالمجموعة ويستعلمها. يربط هذا موطئ قدم قائماً على IAM فقط بطبقة بيانات Redshift دون كلمة مرور قاعدة بيانات مخزّنة - تصبح السيطرة على كيان IAM الرئيسي وصول قراءة لأي شيء يحتفظ به مستودع البيانات.
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1530، البيانات من التخزين السحابي، ضمن تكتيك الجمع. يسجّله AWS في CloudTrail باسم GetClusterCredentials, GetClusterCredentialsWithIAM. الاستدعاء هادئ مقابل النشاط العادي، لذا يسهل تفويته دون قاعدة لرصده.
الكشف
GetClusterCredentialsGetClusterCredentialsWithIAMالمتطلبات المسبقة
redshift:GetClusterCredentials على العنقود؛ ويُنشأ مستخدم قاعدة البيانات تلقائياً إذا كان AutoCreate مسموحاً. ويُفترض إمكانية الوصول عبر الشبكة إلى نقطة نهاية العنقود (لا تحتاجها العناقيد ذات publicly_accessible).
MITRE ATT&CK
T1530 · البيانات من التخزين السحابيتكتيك
الجمع
من الضوابط التي قد تزيله: تقييد redshift:GetClusterCredentials (و GetClusterCredentialsWithIAM)، مع تحديد نطاقه على dbuser/dbname محددين، وتفضيل أدوار قاعدة بيانات قصيرة العمر ومدققة.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح redshift:GetClusterCredentials؟
يمكنه سكّ تسجيل دخول مؤقت إلى قاعدة بيانات IAM وقراءة عنقود Redshift.
هل يمكن لـ redshift:GetClusterCredentials تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى البيانات نفسها دون أي إذن آخر.
كيف يتم كشف توليد بيانات اعتماد قاعدة بيانات IAM لـ Redshift؟
راقب GetClusterCredentials, GetClusterCredentialsWithIAM في CloudTrail. الاستدعاء خافت مقابل النشاط الاعتيادي، لذا يسهل تفويته دون قاعدة له.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد redshift:GetClusterCredentials (وGetClusterCredentialsWithIAM)؛ وحدّد نطاقه على dbuser/dbname محدد؛ وفضّل أدوار قاعدة بيانات قصيرة الأجل ومدققة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1530، البيانات من التخزين السحابي، ضمن تكتيك الجمع.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.