pathbreak-audit: اعثر على أذونات IAM القابلة لإساءة الاستخدام في حساب AWS الخاص بك

بقلم فريق Pathbreak · 21 أكتوبر 2026 · قراءة 4 دقائق

خريطة تصعيد الامتيازات في AWS مرجع: كل إذن في AWS يمكن للمهاجم استخدامه للتحرك نحو صلاحيات المسؤول أو البيانات أو الاستمرارية، والتغيير الذي يكسر كل مسار. تخبرك الخريطة بما قد يحدث خطأ في AWS بوجه عام. ويخبرك pathbreak-audit بأي من تلك الأذونات موجود في حسابك أنت الآن.

ما الذي تفعله

يقرأ pathbreak-audit السياسات المرتبطة بكل دور ومستخدم، المُدارة والمضمّنة، والسياسات التي يرثها المستخدمون من المجموعات، ويحدد الإجراءات المسموحة لكل جهة فاعلة، ويطابق ذلك مع فهرس الأذونات والتركيبات الخطرة. ولكل جهة فاعلة يطبع ما تملكه والتغيير القائم على أقل امتياز الذي يزيله، مع رابط إلى الشرح الكامل على الخريطة.

تأتي النتائج على نوعين. الإذن القابل للاستغلال مباشرة هو إجراء واحد يتيح لجهة فاعلة أن تصعّد الامتيازات أو تثبّت الاستمرارية أو تعبث بالتسجيل، مثل iam:CreateAccessKey على مستخدم آخر. أما التركيبة السامة فهي مجموعة من الأذونات لا تكون خطرة إلا مجتمعة، مثل iam:PassRole مع lambda:CreateFunction، وهو ما تميل المراجعة سياسةً تلو الأخرى إلى تفويته.

لماذا العرض الافتراضي قصير

الأداة التي تنبّه على كل قراءة واسعة وكل إذن تعيد خلق إرهاق التنبيهات الذي يُفترض أن تحله. لذا فالعرض الافتراضي هو الأذونات القابلة للاستغلال أياً كان الهدف: تصعيد الامتيازات والاستمرارية والعبث بالتسجيل والتدمير. أما قراءات البيانات والأسرار الواسعة واستدعاء Lambda وتولي الأدوار والوصول إلى الجلسات فلا تهم إلا حين يكون المورد الذي تصل إليه ذا امتياز، وهو ما لا يستطيع فحص ثابت لحساب واحد معرفته، لذا تُحجب ما لم تطلبها عبر --include-access. كما تُنحّى جانباً افتراضياً حسابات المسؤولين الكاملين وأدوار AWS الافتراضية، لتبقى القائمة قصيرة وجديرة بالقراءة.

جرّبها

يمكنك رؤية المخرجات دون أي حساب AWS على الإطلاق:

pip install pathbreak-audit
pathbreak-audit --demo

لتشغيلها على حسابك أنت، استخدم أي بيانات اعتماد لها حق القراءة في IAM. وسياستا AWS المُدارتان SecurityAudit أو ViewOnlyAccess تغطيانها كلتاهما:

pathbreak-audit --profile my-profile

الخيارات الكاملة والمخرجات التجريبية والمصدر متوفرة على GitHub.

ما الذي لا تفعله

إنها فحص لحساب واحد عند نقطة زمنية محددة. تقرأ ما تسمح به السياسات، لذا قد يظهر منح ضيّق النطاق أيضاً، وتخبرك بأن إذناً ما يمكن استغلاله، لا بأنه يتسلسل حتى شيء حساس. إنها لا تجتاز الرسم البياني عبر الحسابات، ولا تتحقق من أن مساراً يُحسم مقابل التفويض الحقيقي لديك، ولا تراقب الانحراف. نرسم هذا الحد عن قصد.

يُظهر pathbreak-audit الأذونات التي يمكن استغلالها، جهة فاعلة تلو الأخرى. وPathbreak يُظهر أياً منها يتسلسل إلى مسار متحقَّق منه يصل إلى بياناتك الحساسة، ويرتّبها حسب نطاق الأثر عبر كل حساب، ويعيد إليك التغيير الواحد الذي يكسر أكبر عدد من المسارات، باستمرار. وإذا كانت الأداة مفيدة، فهذه هي الخطوة التالية.

الأسئلة الشائعة