English
Español
Français
Deutsch
日本語
한국어
العربيةاختطاف دفتر SageMaker عبر عنوان URL موقّع مسبقاً
يمكنه سكّ عنوان URL موقّع مسبقًا لدفتر وتشغيل shell بصلاحيات دور التنفيذ الخاص به.
يمنح التصعيد بمفرده.
sagemaker:CreatePresignedNotebookInstanceUrlبمفرده، يستطيع sagemaker:CreatePresignedNotebookInstanceUrl إنشاء عنوان URL موقّع مسبقًا لدفتر ملاحظات وتشغيل صدفة بصفة دور تنفيذه. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول المسؤول.
لماذا هو خطير
يمكن لجهة أساسية استدعاء sagemaker:CreatePresignedNotebookInstanceUrl على نسخة دفتر موجودة تعمل بصفة الدور المستهدف، ما يولّد عنوان URL موقّعاً يفتح بيئة Jupyter الخاصة بالدفتر. باستخدام الطرفية المدمجة في Jupyter، وهي صدفة تعمل بصفة الدور المستهدف، يقرأ المهاجم بيانات الاعتماد الحية للدور المستهدف أو يستدعي AWS مباشرة. لا حاجة إلى iam:PassRole، لأن الدور المستهدف مرتبط أصلاً بالدفتر. إذا كان الدور المستهدف ذا امتياز فهذا تصعيد كامل للامتيازات ضد دفتر كان موثوقاً أصلاً.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreatePresignedNotebookInstanceUrl. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.
الكشف
CreatePresignedNotebookInstanceUrlالمتطلبات المسبقة
نسخة دفتر SageMaker موجودة مع دور تنفيذ، وإذن لإنشاء عنوان URL موقّع مسبقاً لها. يجب أن يكون الدفتر في حالة InService لفتح جلسة Jupyter.
MITRE ATT&CK
T1578 · تعديل البنية التحتية للحوسبة السحابيةتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: قصر sagemaker:CreatePresignedNotebookInstanceUrl على المشغّلين، مع تقليل أذونات دور تنفيذ الدفتر.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح sagemaker:CreatePresignedNotebookInstanceUrl؟
يمكنه سكّ عنوان URL موقّع مسبقًا لدفتر وتشغيل shell بصلاحيات دور التنفيذ الخاص به.
هل يمكن لـ sagemaker:CreatePresignedNotebookInstanceUrl تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.
كيف يتم كشف اختطاف دفتر SageMaker عبر عنوان URL موقّع مسبقًا؟
راقب CreatePresignedNotebookInstanceUrl في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر sagemaker:CreatePresignedNotebookInstanceUrl على المشغّلين؛ وقلّل أذونات دور تنفيذ المفكرة (notebook). يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.