تصعيد الامتيازات IAM Identity Center T1098.003 الاستمرارية

إرفاق المسؤول بمجموعة أذونات Identity Center

يمكنها إرفاق AdministratorAccess بمجموعة أذونات مُوفَّرة ودفعها.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

sso:AttachManagedPolicyToPermissionSetsso:ProvisionPermissionSet
الخلاصة الأساسية

يمكن لـ sso:AttachManagedPolicyToPermissionSet إرفاق AdministratorAccess بمجموعة أذونات مُهيّأة ودفعها، لكن فقط عند امتلاكه مع sso:ProvisionPermissionSet. ومعاً يصلان إلى وصول المسؤول.

AttachManagedPolicyToPermissionSet grants admin 01 Attacker principal 02 Admin policy attached 03 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لجهة أساسية استدعاء sso:AttachManagedPolicyToPermissionSet لإضافة AdministratorAccess إلى مجموعة الأذونات، ثم sso:ProvisionPermissionSet لدفع التغيير إلى كل حساب مُسندة إليه المجموعة، ما يحوّل دوراً اتحادياً محدود النطاق إلى مسؤول على مستوى المؤسسة بالكامل.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.003، التلاعب بالحساب: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم AttachManagedPolicyToPermissionSet, ProvisionPermissionSet. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.

الكشف

AttachManagedPolicyToPermissionSetProvisionPermissionSet

المتطلبات المسبقة

مجموعة الأذونات مُهيّأة في هذا الحساب؛ والمُستدعي في حساب إدارة المؤسسة أو حساب مسؤول مفوَّض.

MITRE ATT&CK

T1098.003 · التلاعب بالحسابات: أدوار سحابية إضافية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر sso:AttachManagedPolicyToPermissionSet / ProvisionPermissionSet على دور طوارئ (break-glass)، مع التنبيه عند الأحداث.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح sso:AttachManagedPolicyToPermissionSet؟

يمكنها إرفاق AdministratorAccess بمجموعة أذونات مُوفَّرة ودفعها.

ما الذي يلزم أيضاً لكي يصبح sso:AttachManagedPolicyToPermissionSet خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع sso:ProvisionPermissionSet. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يُكتشف إرفاق صلاحية المسؤول بمجموعة أذونات Identity Center؟

راقب AttachManagedPolicyToPermissionSet, ProvisionPermissionSet في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر sso:AttachManagedPolicyToPermissionSet / ProvisionPermissionSet على دور break-glass؛ وفعّل إنذاراً على الأحداث. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1098.003، التلاعب بالحسابات: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهاإسناد النفس إلى مجموعة أذونات المسؤولsso:CreateAccountAssignmentالخدمة نفسهاتصعيد مجموعة أذونات Identity Centersso:PutInlinePolicyToPermissionSetالتقنية نفسهاإرفاق سياسة المسؤول بدورiam:AttachRolePolicyالتقنية نفسهاإرفاق سياسة المسؤول بمستخدمiam:AttachUserPolicyالتقنية نفسهاإنشاء إصدار السياسة الافتراضيiam:CreatePolicyVersionالتقنية نفسهاوضع سياسة دور مضمّنةiam:PutRolePolicy

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق