English
Español
Français
Deutsch
日本語
한국어
العربيةفتح صدفة SSM
يمكنه فتح shell تفاعلي عبر SSM على جهاز.
يمنح التصعيد بمفرده.
ssm:StartSessionبمفرده، يستطيع ssm:StartSession فتح صدفة SSM تفاعلية على مثيل. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول المسؤول.
لماذا هو خطير
يمكن لجهة أساسية استدعاء ssm:StartSession لفتح صدفة تفاعلية على النسخة المُدارة بواسطة SSM، دون مفتاح SSH، ودون منفذ مفتوح في مجموعة الأمان، متجاوزةً مسار الشبكة بالكامل. يؤدي ذلك إلى تنفيذ تعليمات برمجية على مستوى نظام التشغيل على النسخة، يستطيع منها المهاجم قراءة بيانات اعتماد دور IAM للنسخة والانتقال أعمق في الحساب.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1651، أمر إدارة السحابة، ضمن تكتيك الحركة الجانبية. يسجّله AWS في CloudTrail باسم StartSession. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.
الكشف
StartSessionالمتطلبات المسبقة
النسخة الهدف تُشغّل وكيل SSM ومسجّلة (وسم ssm-managed).
MITRE ATT&CK
T1651 · أمر إدارة سحابيةتكتيك
الحركة الجانبية
من الضوابط التي قد تزيله: قصر ssm:StartSession على كيانات الطوارئ (break-glass) فقط.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح ssm:StartSession؟
يمكنه فتح shell تفاعلي عبر SSM على جهاز.
هل يمكن لـ ssm:StartSession تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.
كيف يتم كشف فتح واجهة أوامر SSM؟
راقب StartSession في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر ssm:StartSession على كيانات break-glass الرئيسية فقط. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1651، أمر إدارة سحابية، ضمن تكتيك الحركة الجانبية.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.