English
Español
Français
Deutsch
日本語
한국어
العربيةتولّي الدور
يمكنها تولّي دور ووراثة كل أذوناته.
يمنح التصعيد بمفرده.
sts:AssumeRoleبمفرده، يستطيع sts:AssumeRole تولّي دور ووراثة كل أذوناته. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول المسؤول.
لماذا هو خطير
يمكن لجهة أساسية استدعاء sts:AssumeRole على الدور المستهدف لأن سياسة الثقة للدور المستهدف تسمح بها، فتتلقى مجموعة كاملة من بيانات الاعتماد المؤقتة للدور المستهدف. وطوال مدة تلك الجلسة تصبح الجهة الأساسية فعلياً هي الدور المستهدف وتمارس كل إذن يحمله الدور المستهدف، وبما أن الدور المستهدف هو نفسه جهة أساسية، فيمكنه بدوره تولّي أدوار أخرى، فيصعّد الامتيازات أو يتحرك جانبياً عبر الحساب.
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1078.004، الحسابات الصالحة: الحسابات السحابية، ضمن تكتيك الحركة الجانبية. يسجّله AWS في CloudTrail باسم AssumeRole. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز.
الكشف
AssumeRoleالمتطلبات المسبقة
يجب أن تسمح سياسة الثقة للدور الهدف للمبدأ المصدر (أو حسابه) بتولّيه.
MITRE ATT&CK
T1078.004 · حسابات صالحة: حسابات سحابيةتكتيك
الحركة الجانبية
من الضوابط التي قد تزيله: شدّد سياسة ثقة الدور؛ وأزل sts:AssumeRole من المبدأ.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح sts:AssumeRole؟
يمكنها تولّي دور ووراثة كل أذوناته.
هل يمكن لـ sts:AssumeRole تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.
كيف يُكتشف تولّي الدور؟
راقب AssumeRole في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: شدّد سياسة ثقة الدور؛ وأزل sts:AssumeRole من الكيان الرئيسي. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1078.004، حسابات صالحة: حسابات سحابية، ضمن تكتيك الحركة الجانبية.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.