الوصول إلى البيانات S3 T1530

قراءة كائنات S3

يمكنه قراءة الكائنات المخزّنة في دلو.

يمنح التصعيد بمفرده.

s3:GetObject
الخلاصة الأساسية

بمفرده، يستطيع s3:GetObject قراءة الكائنات المُخزّنة في دلو. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى البيانات نفسها.

GetObject reads data 01 Attacker principal 02 Data store 03 Data read
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي s3:GetObject لقراءة الكائنات المخزّنة في الدلو، مُتحقَّقاً منه مقابل كل من سياسة هوية الكيان الرئيسي وسياسة الدلو. هذا هو الهدف، وليس مجرد نقطة انطلاق: إنه تسريب مباشر لأي بيانات يحتفظ بها الدلو، الاختراق نفسه. وتُحرّك خطورته حساسية الدلو، لا أي وصول إضافي يمنحه.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1530، البيانات من التخزين السحابي، ضمن تكتيك الجمع. يسجّله AWS في CloudTrail باسم GetObject, ListObjects. الاستدعاء هادئ مقابل النشاط العادي، لذا يسهل تفويته دون قاعدة لرصده.

الكشف

GetObjectListObjects

المتطلبات المسبقة

لا شيء عدا s3:GetObject؛ ويُتحقق من إمكانية الوصول مقابل سياسة الدلو أيضاً. (ملاحظة: لا يُسجَّل GetObject إلا إذا كانت أحداث بيانات S3 مُفعّلة، ومن ثمّ noise=quiet.)

MITRE ATT&CK

T1530 · البيانات من التخزين السحابي

تكتيك

الجمع

كسر المسار

من الضوابط التي قد تزيله: تقييد s3:GetObject وتشديد سياسة الدلو.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح s3:GetObject؟

يمكنه قراءة الكائنات المخزّنة في دلو.

هل يمكن لـ s3:GetObject تصعيد الامتيازات بمفرده؟

نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى البيانات نفسها دون أي إذن آخر.

كيف يتم كشف قراءة كائنات S3؟

راقب GetObject, ListObjects في CloudTrail. الاستدعاء خافت مقابل النشاط الاعتيادي، لذا يسهل تفويته دون قاعدة له.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قيّد s3:GetObject وشدّد سياسة الدلو. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1530، البيانات من التخزين السحابي، ضمن تكتيك الجمع.

المسارات ذات الصلة

التقنية نفسهاسياسة مورد يمكن الوصول إليها بشكل عامIAMالتقنية نفسهامنح قراءة الدلو عبر ACLs3:PutBucketAclالتقنية نفسهامنح قراءة الكائن عبر ACLs3:PutObjectAclالتقنية نفسهاقراءة دلو ممنوح لحساب AWS خارجيS3التقنية نفسهافك التشفير بمفتاح KMS ممنوح لحساب AWS خارجيKMSالتقنية نفسهاقراءة سر ممنوح لحساب AWS خارجيSecrets Manager

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق