English
Español
Français
Deutsch
日本語
한국어
العربيةاختطاف دور آلة حالة Step Functions
يمكنه إعادة كتابة آلة حالة واستدعاء AWS مباشرة بصلاحيات دور التنفيذ الخاص بها.
يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:
states:UpdateStateMachinestates:StartExecutionيمكن لـ states:UpdateStateMachine إعادة كتابة آلة حالة واستدعاء AWS مباشرةً بصفة دور التنفيذ الخاص به، لكن فقط عند امتلاكه مع states:StartExecution. ومعاً يصلان إلى وصول المسؤول.
لماذا هو خطير
يمكن لجهة أساسية استدعاء states:UpdateStateMachine على آلة حالة Step Functions موجودة تحمل أصلاً دور التنفيذ، فتستبدل تعريف ASL الخاص بها بتعريف تستدعي فيه مهمة تكامل SDK خدمة AWS مباشرة (مثل iam:AttachUserPolicy)، ثم states:StartExecution لتشغيلها. تنفّذ المهمة بصفة الدور، دون حاجة إلى iam:PassRole ولا إلى states:CreateStateMachine، لأن الدور مرتبط أصلاً بآلة الحالة. إذا كان الدور ذا امتياز فهذا تصعيد كامل للامتيازات ضد آلة حالة كانت موثوقة أصلاً.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم UpdateStateMachine, StartExecution. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.
الكشف
UpdateStateMachineStartExecutionالمتطلبات المسبقة
آلة حالة موجودة مع دور تنفيذ، وإذن لتحديث تعريفها وبدء تنفيذ.
MITRE ATT&CK
T1578 · تعديل البنية التحتية للحوسبة السحابيةتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: تقييد states:UpdateStateMachine / states:StartExecution على آلات الحالة التي تحمل دور تنفيذ مميزاً.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح states:UpdateStateMachine؟
يمكنه إعادة كتابة آلة حالة واستدعاء AWS مباشرة بصلاحيات دور التنفيذ الخاص بها.
ما الذي يلزم أيضاً لكي يصبح states:UpdateStateMachine خطيراً؟
لا يصبح تصعيداً إلا عند امتلاكه مع states:StartExecution. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.
كيف يتم كشف اختطاف دور آلة الحالة في Step Functions؟
راقب UpdateStateMachine, StartExecution في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد states:UpdateStateMachine / states:StartExecution على آلات الحالة التي تحمل دور تنفيذ مميزاً. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.