تصعيد الامتيازات SageMaker T1578

اختطاف دفتر SageMaker عبر إعداد دورة الحياة

يمكنها إرفاق برنامج بدء تشغيل بدفتر وتشغيل الشفرة بصفة دور تنفيذه.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

sagemaker:CreateNotebookInstanceLifecycleConfigsagemaker:UpdateNotebookInstancesagemaker:StopNotebookInstancesagemaker:StartNotebookInstance
الخلاصة الأساسية

يمكن لـ sagemaker:UpdateNotebookInstance إرفاق برنامج نصي لبدء التشغيل بدفتر ملاحظات وتشغيل التعليمات البرمجية بصفة دور التنفيذ الخاص به، لكن فقط عند امتلاكه مع sagemaker:CreateNotebookInstanceLifecycleConfig، وsagemaker:StopNotebookInstance، وsagemaker:StartNotebookInstance. ومعاً يصلان إلى وصول المسؤول.

UpdateNotebookInstance runs as its role 01 Attacker principal 02 Existing compute 03 Its role 04 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لجهة أساسية إنشاء إعداد دورة حياة لدفتر مع برنامج بدء تشغيل يتحكم به المهاجم، وإيقاف دفتر موجود يعمل بصفة الدور المستهدف، وإرفاق الإعداد عبر sagemaker:UpdateNotebookInstance، ثم تشغيل الدفتر مجدداً. عند بدء التشغيل ينفّذ البرنامج بصفة الدور المستهدف ويقرأ بيانات الاعتماد الحية للدور المستهدف، دون حاجة إلى iam:PassRole، لأن الدور المستهدف مرتبط أصلاً بالدفتر. إذا كان الدور المستهدف ذا امتياز فهذا تصعيد كامل للامتيازات ضد دفتر كان موثوقاً أصلاً.

وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateNotebookInstanceLifecycleConfig, UpdateNotebookInstance, StopNotebookInstance, StartNotebookInstance. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.

الكشف

CreateNotebookInstanceLifecycleConfigUpdateNotebookInstanceStopNotebookInstanceStartNotebookInstance

المتطلبات المسبقة

نسخة دفتر SageMaker موجودة مع دور تنفيذ، وإذن لإنشاء إعداد دورة حياة وإيقاف/تحديث/تشغيل الدفتر.

MITRE ATT&CK

T1578 · تعديل البنية التحتية للحوسبة السحابية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: تقييد sagemaker:UpdateNotebookInstance / إجراءات lifecycle-config على الدفاتر التي تحمل دور تنفيذ مميزاً.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح sagemaker:UpdateNotebookInstance؟

يمكنها إرفاق برنامج بدء تشغيل بدفتر وتشغيل الشفرة بصفة دور تنفيذه.

ما الذي يلزم أيضاً لكي يصبح sagemaker:UpdateNotebookInstance خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع sagemaker:CreateNotebookInstanceLifecycleConfig, sagemaker:StopNotebookInstance, sagemaker:StartNotebookInstance. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف اختطاف دفتر SageMaker عبر إعداد دورة الحياة؟

راقب CreateNotebookInstanceLifecycleConfig, UpdateNotebookInstance, StopNotebookInstance, StartNotebookInstance في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قيّد sagemaker:UpdateNotebookInstance / إجراءات lifecycle-config على المفكرات التي تحمل دور تنفيذ مميزاً. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهاتمرير الدور إلى نقطة نهاية نموذج SageMakeriam:PassRoleالخدمة نفسهاتمرير الدور إلى مهمة ضبط SageMakeriam:PassRoleالخدمة نفسهااختطاف دفتر SageMaker عبر عنوان URL موقّع مسبقاًsagemaker:CreatePresignedNotebookInstanceUrlالخدمة نفسهاتمرير الدور إلى SageMakeriam:PassRoleالخدمة نفسهاتمرير الدور إلى مهمة معالجة SageMakeriam:PassRoleالخدمة نفسهاتمرير الدور إلى مهمة تدريب SageMakeriam:PassRole

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق