English
Español
Français
Deutsch
日本語
한국어
العربيةتمرير الدور إلى نقطة نهاية نموذج SageMaker
يمكنه تمرير دور إلى نموذج SageMaker ونقطة نهايته وتشغيل حاوية مهاجم بصلاحيات الدور.
يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:
iam:PassRolesagemaker:CreateModelsagemaker:CreateEndpointConfigsagemaker:CreateEndpointيمكن لـ iam:PassRole تمرير دور إلى نموذج ونقطة نهاية SageMaker وتشغيل حاوية المهاجم بصفته، لكن فقط عند امتلاكه مع sagemaker:CreateModel، وsagemaker:CreateEndpointConfig، وsagemaker:CreateEndpoint. ومعاً يصلان إلى وصول المسؤول.
لماذا هو خطير
يمكن لجهة أساسية استدعاء sagemaker:CreateModel مع تمرير دور التنفيذ مع صورة حاوية يتحكم بها المهاجم، ثم CreateEndpointConfig + CreateEndpoint لتشغيلها. تنفّذ الحاوية بصفة الدور المستهدف ويمكنها تسريب بيانات اعتماده.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1648، التنفيذ بلا خادم، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateModel, CreateEndpoint. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.
الكشف
CreateModelCreateEndpointالمتطلبات المسبقة
iam:PassRole لدور يثق بـ sagemaker.amazonaws.com وإجراءات الإنشاء في sagemaker.
MITRE ATT&CK
T1648 · تنفيذ بلا خادمتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: تحديد نطاق iam:PassRole للأدوار التي تثق بـ sagemaker.amazonaws.com، مع تقييد sagemaker:CreateModel.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح iam:PassRole؟
يمكنه تمرير دور إلى نموذج SageMaker ونقطة نهايته وتشغيل حاوية مهاجم بصلاحيات الدور.
ما الذي يلزم أيضاً لكي يصبح iam:PassRole خطيراً؟
لا يصبح تصعيداً إلا عند امتلاكه مع sagemaker:CreateModel, sagemaker:CreateEndpointConfig, sagemaker:CreateEndpoint. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.
كيف يتم كشف تمرير الدور إلى نقطة نهاية نموذج SageMaker؟
راقب CreateModel, CreateEndpoint في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: حدّد نطاق iam:PassRole للأدوار التي تثق بـ sagemaker.amazonaws.com؛ وقيّد sagemaker:CreateModel. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1648، تنفيذ بلا خادم، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
- https://attack.mitre.org/techniques/T1648/
- https://docs.aws.amazon.com/sagemaker/latest/dg/sagemaker-roles.html
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.