تصعيد الامتيازات IAM Roles Anywhere T1098.001 الاستمرارية

إصدار بيانات اعتماد عبر ملف تعريف Roles Anywhere

يمكنها ربط دور ذي امتياز بملف تعريف Roles Anywhere وتوليد بيانات اعتماد من شهادة خارجية.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

rolesanywhere:CreateProfileiam:PassRole
الخلاصة الأساسية

يمكن لـ iam:PassRole ربط دور ذي امتيازات بملف تعريف Roles Anywhere وإنشاء بيانات اعتماد من شهادة خارجية، لكن فقط عند امتلاكه مع rolesanywhere:CreateProfile. ومعاً يصلان إلى وصول المسؤول.

CreateProfile iam:PassRole runs as role 01 Attacker principal 02 New IAM Roles Anywhere 03 Passed role 04 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي rolesanywhere:CreateProfile لربط الدور المميز بملف تعريف IAM Roles Anywhere، ثم يقدّم شهادة متسلسلة إلى نقطة ثقة مسجّلة لسكّ بيانات اعتماد ذلك الدور من خارج AWS. يبقى بعد تدوير بيانات اعتماد IAM وهو استمرارية دائمة.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.001، التلاعب بالحساب: بيانات اعتماد سحابية إضافية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateProfile, CreateTrustAnchor. الاستدعاء هادئ مقابل النشاط العادي، لذا يسهل تفويته دون قاعدة لرصده. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.

الكشف

CreateProfileCreateTrustAnchor

المتطلبات المسبقة

مرساة ثقة مسجّلة (أو rolesanywhere:CreateTrustAnchor)، ودور يثق بـ rolesanywhere.amazonaws.com، وiam:PassRole له.

MITRE ATT&CK

T1098.001 · التلاعب بالحسابات: بيانات اعتماد سحابية إضافية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر rolesanywhere:CreateProfile و iam:PassRole للأدوار التي تثق بـ rolesanywhere.amazonaws.com على دور طوارئ (break-glass).

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح iam:PassRole؟

يمكنها ربط دور ذي امتياز بملف تعريف Roles Anywhere وتوليد بيانات اعتماد من شهادة خارجية.

ما الذي يلزم أيضاً لكي يصبح iam:PassRole خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع rolesanywhere:CreateProfile. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف توليد بيانات اعتماد عبر ملف تعريف Roles Anywhere؟

راقب CreateProfile, CreateTrustAnchor في CloudTrail. الاستدعاء خافت مقابل النشاط الاعتيادي، لذا يسهل تفويته دون قاعدة له.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر rolesanywhere:CreateProfile وiam:PassRole للأدوار التي تثق بـ rolesanywhere.amazonaws.com على دور break-glass. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1098.001، التلاعب بالحسابات: بيانات اعتماد سحابية إضافية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

التقنية نفسهاإصدار مفتاح وصول لمستخدمiam:CreateAccessKeyالتقنية نفسهاإصدار بيانات اعتماد خاصة بخدمة لمستخدمiam:CreateServiceSpecificCredentialالتقنية نفسهاإعادة ضبط كلمة مرور وحدة التحكم لمستخدمiam:UpdateLoginProfileالتقنية نفسهاتدوير مفتاح الوصول لسكّ بيانات اعتماد لمستخدمiam:CreateAccessKeyالتقنية نفسهاتعيين كلمة مرور وحدة التحكم لمستخدمiam:CreateLoginProfileتستخدم أيضاً iam:PassRoleتمرير الدور إلى أسطول EC2iam:PassRole

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق