تصعيد الامتيازات IAM Identity Center T1098.003 الاستمرارية

إسناد النفس إلى مجموعة أذونات المسؤول

يمكنها إسناد جهة أساسية إلى مجموعة أذونات مسؤول جرى توفيرها أصلاً.

يمنح التصعيد بمفرده.

sso:CreateAccountAssignment
الخلاصة الأساسية

بمفرده، يستطيع sso:CreateAccountAssignment تعيين مبدأ إلى مجموعة أذونات مسؤول مُجهّزة مسبقًا. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول المسؤول.

CreateAccountAssignment grants admin 01 Attacker principal 02 Permissions changed 03 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لجهة أساسية استدعاء sso:CreateAccountAssignment لربط جهة أساسية يتحكم بها المهاجم بمجموعة الأذونات في حساب مستهدف. إذا كانت تلك المجموعة قد جرى توفيرها أصلاً كمسؤول (مثل AdministratorAccess)، فإن الإسناد يسلّم المهاجم دور مسؤول اتحادياً دون أي تعديل للسياسة على الإطلاق، وهو أنظف تصعيد امتيازات في Identity Center في الواقع العملي.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.003، التلاعب بالحساب: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateAccountAssignment. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.

الكشف

CreateAccountAssignment

المتطلبات المسبقة

مجموعة أذونات ذات امتياز جرى توفيرها أصلاً، وجهة أساسية يتحكم بها المهاجم لإسنادها إليها.

MITRE ATT&CK

T1098.003 · التلاعب بالحسابات: أدوار سحابية إضافية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر sso:CreateAccountAssignment على مسؤول Identity Center من نوع طوارئ (break-glass)، مع التنبيه عند التعيينات الجديدة لمجموعات أذونات مميزة.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح sso:CreateAccountAssignment؟

يمكنها إسناد جهة أساسية إلى مجموعة أذونات مسؤول جرى توفيرها أصلاً.

هل يمكن لـ sso:CreateAccountAssignment تصعيد الامتيازات بمفرده؟

نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.

كيف يُكتشف تعيين النفس في مجموعة أذونات المسؤول؟

راقب CreateAccountAssignment في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر sso:CreateAccountAssignment على مسؤول Identity Center من نوع break-glass؛ وفعّل إنذاراً على التعيينات الجديدة لمجموعات الأذونات المميزة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1098.003، التلاعب بالحسابات: أدوار سحابية إضافية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهاإرفاق المسؤول بمجموعة أذونات Identity Centersso:AttachManagedPolicyToPermissionSetالخدمة نفسهاتصعيد مجموعة أذونات Identity Centersso:PutInlinePolicyToPermissionSetالتقنية نفسهاإرفاق سياسة المسؤول بدورiam:AttachRolePolicyالتقنية نفسهاإرفاق سياسة المسؤول بمستخدمiam:AttachUserPolicyالتقنية نفسهاإنشاء إصدار السياسة الافتراضيiam:CreatePolicyVersionالتقنية نفسهاوضع سياسة دور مضمّنةiam:PutRolePolicy

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق