English
Español
Français
Deutsch
日本語
한국어
العربيةAWS Privilege Escalation Map
Die Pathbreak Attack Map für AWS
Zusammengestellt von Pathbreak Research · Aktualisiert Oktober 2026
Die umfassendste öffentliche Map von AWS-Berechtigungen, die ein Angreifer zu Administrator, Daten oder Persistenz verketten kann: wie jede verwendet wird, die CloudTrail-Ereignisse, die sie erfassen, die MITRE ATT&CK Technik und die einzelne Änderung, die den Pfad unterbricht. Jeder Pfad wird gegen echte Autorisierung geprüft, bevor Pathbreak ihn meldet.
Hier beginnen
Kombinationen, die man kennen sollte
Viele AWS-Berechtigungen erreichen Admin erst, wenn sie mit anderen zusammentreffen. Diese Kombinationen übersieht eine Prüfung, die eine Richtlinie nach der anderen betrachtet, in der Regel. Hier sind einige. Die vollständige Karte ist unten durchsuchbar.
EC2-User-Data kapern
Ein Principal kann die Instanz stoppen, ihre user-data mit ec2:ModifyInstanceAttribute umschreiben und sie wieder starten; beim Boot führt die Instanz das user-data-Skript des Angreifers als ihre bereits angehängte Instanzprofil-Rolle aus, ohne iam:PassRole. Ein privilegiertes Instanzprofil bedeutet beliebige Code-Ausführung als diese Rolle: vollständige Privilege Escalation gegen eine Maschine, der bereits vertraut wurde.
CloudFormation-Stack-Rolle über Change Set kapern
Ein Principal kann cloudformation:CreateChangeSet und cloudformation:ExecuteChangeSet auf einem bestehenden CloudFormation-Stack aufrufen, der die Service-Rolle bereits trägt. Indem er ein geändertes Template als Change Set bereitstellt und ausführt, bringt der Principal CloudFormation dazu, die Änderungen des Angreifers mit der Zielrolle anzuwenden, ohne iam:PassRole, weil die Zielrolle bereits an den Stack gebunden ist. Eine privilegierte Service-Rolle bedeutet, dass das Template des Angreifers Admin-Ressourcen bereitstellen kann: vollständige Privilege Escalation gegen einen Stack, dem bereits vertraut wurde.
Instanzrolle über SSM-Befehl kapern
Ein Principal kann ssm:SendCommand aufrufen, um ein AWS-RunShellScript-Dokument auf einer SSM-verwalteten Instanz auszuführen, die die Instanzprofil-Rolle bereits trägt, und Angreiferbefehle ausführen, die die aktiven Anmeldeinformationen der Instanz aus IMDS lesen und hinausschicken, nicht interaktiv, ohne Shell-Session, Schlüssel oder offenen Port. Weil die Instanz bereits an die Maschine gebunden ist, genügt die Befehlsausführung darauf, um die Rolle zu stehlen, ohne iam:PassRole. Ist die Instanz privilegiert, ist dies eine vollständige Privilege Escalation gegen eine Instanz, der bereits vertraut wurde, und es ist über viele Instanzen auf einmal skriptbar.
Prüfen Sie Ihr eigenes Konto gegen diese Pfade. pathbreak-audit ist unser kostenloses, quelloffenes Kommandozeilentool für Verteidiger: Richten Sie es read-only auf ein AWS-Konto, und es zeigt Ihnen die riskanten Rollen und Benutzer, und genau das, was Sie kappen müssen.
pip install pathbreak-audit
Nach Berechtigung, Dienst oder MITRE-Technik suchen. Mehrere Wörter grenzen die Ergebnisse ein.
Keine Berechtigungen entsprechen diesem Filter.
Karte wird geladen...
Was die Daten zeigen
Muster über jeden Pfad in der Karte hinweg. Diese beschreiben, wo sich AWS Privilege Escalation konzentriert und wo ein Verteidiger mit der geringsten Änderung die größte Abdeckung erhält. Jeder Prozentwert ist der Anteil der Einträge in dieser Karte, die diese Eigenschaft haben, gezählt aus dem Katalog der Karte selbst. Die Zahlen beschreiben also die dokumentierten Pfade und sagen nichts über ein bestimmtes AWS-Konto aus.
der Privilege-Escalation-Pfade in der Map beruhen auf iam:PassRole. iam:PassRole ist die am häufigsten wiederverwendete Berechtigung im gesamten Datensatz. Sie erscheint in Pfaden, die 23 AWS-Dienste erreichen, weil jeder Dienst, der Workloads für Sie ausführt, eine Rolle akzeptiert, die Sie ihm übergeben. Das Einschränken von iam:PassRole auf bestimmte Rollen-ARNs und das Festlegen von iam:PassedToService entfernt die meisten davon auf einmal.
benötigen nur eine einzige Berechtigung, um Impact zu erreichen. Die meisten Pfade in der Map erfordern nur eine zu breite Aktion. Der Rest hängt von einer Kombination aus zwei oder mehr gemeinsam gehaltenen Berechtigungen ab. Eine Least-Privilege-Prüfung einzelner Aktionen adressiert den größeren Teil.
der Privilege-Escalation-Behebungen sind eine Scoping- oder Bedingungsänderung, keine Entfernung. Die empfohlene Änderung besteht in der Regel darin, eine Berechtigung einzugrenzen (ein Ressourcen-Scope, eine iam:PassedToService-Bedingung oder ein Org-Schutzmechanismus), statt sie wegzunehmen, sodass das Team die Fähigkeit behält, während sich der Pfad schließt.
der Pfade sind an einem einzigen CloudTrail-Ereignis erkennbar. Jeder Eintrag listet die Management-Plane-Ereignisse auf, die die Aktion aufzeichnen. Die meisten entsprechen einem Ereignis, daher lassen sich Erkennungsregeln pro Pfad ohne aufwendige Korrelation schreiben.
fungieren zugleich als Persistenzmechanismus. Ein großer Teil dieser Aktionen lässt einen Angreifer den Zugriff behalten, nachdem der ursprüngliche Einstieg geschlossen ist (eine dauerhafte Anmeldeinformation, eine MFA-Änderung, eine Vertrauensänderung). Auf diese zu alarmieren lohnt sich, auch wenn sie wie Routine-Administration aussehen.
sind Defense-Evasion-Vorgehensweisen gegen Ihre eigene Protokollierung und Schutzmechanismen. Das Stoppen von CloudTrail, das Deaktivieren von GuardDuty oder Security Hub, das Löschen von Flow-Logs oder das Abtrennen einer SCP erscheint jeweils als eigener Eintrag. Es sind Einzelaufruf-Aktionen, daher ist ein Deny auf dem Security-Tooling die sauberste Maßnahme.
Wer nutzt diese Pfade? Dieselben Vorgehensweisen tauchen in echten Cloud-Vorfällen auf. Sehen Sie die Gruppen dahinter im Cloud-Bedrohungsakteure reference.
Sehen Sie, welche davon in Ihrem Konto existieren
Pathbreak verbindet sich mit einer schreibgeschützten Rolle, findet die Pfade, die gegen Ihre reale Autorisierung auflösbar sind, und stuft die wenigen Änderungen ein, die am meisten unterbrechen. Ein Konto, ein Scan, erste validierte Pfade innerhalb einer Stunde.
Fragen
Was sind die gefährlichsten AWS-IAM-Berechtigungen?
Die Berechtigungen, mit denen ein Principal ändern kann, wer was tun darf, oder Code als privilegiertere Rolle ausführen kann: iam:PutRolePolicy, iam:AttachRolePolicy, iam:CreatePolicyVersion, iam:UpdateAssumeRolePolicy und iam:PassRole in Verbindung mit einem Compute-Dienst. Diese Map listet jede auf, die Pathbreak verfolgt, und die Änderung, die den Pfad bricht.
Warum ist iam:PassRole gefährlich?
iam:PassRole lässt einen Principal eine IAM-Rolle an einen AWS-Dienst übergeben. Auf einer Wildcard-Ressource gewährt, übergibt ein Angreifer eine privilegierte Rolle an einen Dienst, den er ausführen kann (EC2, Lambda, ECS und andere), und erbt diese Rolle. iam:PassRole auf bestimmte Rollen-ARNs einschränken und iam:PassedToService festlegen.
Wie verhindere ich AWS Privilege Escalation?
iam:PassRole einschränken, Permissions-Boundaries auf Rollen beibehalten, IAM-Policy- und Vertrauensänderungen außerhalb einer Change-Management-Rolle verweigern und auf die hier aufgeführten CloudTrail-Ereignisse alarmieren. Pathbreak validiert, welche Pfade in Ihrem Konto auflösen, und priorisiert die wenigen Änderungen, die am meisten unterbrechen.
Deckt dies mehr als Privilege Escalation ab?
Ja. Sie deckt außerdem Credential Access, Defense Evasion, Ressourcenexposition, Datenzugriff und Persistenz ab, weil echte Angriffspfade auf dem Weg zum Impact diese Kategorien durchqueren.
Was ist die AWS Privilege Escalation Map?
Es ist eine öffentliche Referenz der AWS-Berechtigungen, die ein Angreifer zu Administratorzugriff, Daten oder Persistenz verketten kann. Jede hat ihre eigene Seite mit der Art der Nutzung, den CloudTrail-Events, die sie erfassen, der MITRE ATT&CK-Technik und der Maßnahme, die den Pfad entfernen würde. Es ist die öffentliche Version dessen, worüber Pathbreak innerhalb eines Kontos schlussfolgert.
Für wen ist es?
Cloud-Security-Engineers, Detection-Engineers, Red Teams und alle, die IAM-Richtlinien schreiben. Nutzen Sie es, um zu verstehen, was eine Berechtigung eröffnet, bevor Sie sie gewähren, um Erkennungsregeln zu erstellen oder ein Konto per Threat Modeling zu analysieren.
Wie verwende ich es?
Nach Berechtigung, nach Dienst oder nach einer Kombination von Berechtigungen suchen. Öffnen Sie einen beliebigen Eintrag, um die Angriffskette, die Erkennungsereignisse, auf die Sie heute alarmieren können, die MITRE-Technik und die Änderung zu sehen, die den Pfad unterbrechen würde. Jede Seite ist eine eigenständige Referenz, die Sie verlinken können.
Wie unterscheidet sich eine einzelne Berechtigung von einer toxischen Kombination?
Einige Berechtigungen ermöglichen eine Eskalation für sich allein. Viele tun dies nur, wenn sie zusammen mit anderen gehalten werden, zum Beispiel iam:PassRole mit einer Dienstaktion. Genau diese Kombinationen übersieht eine Prüfung, die eine Policy nach der anderen betrachtet, häufig, daher kennzeichnet die Map jeden Eintrag und lässt Sie nach genau diesen Kombinationen filtern.
Ist dies die vollständige Liste gefährlicher AWS-Berechtigungen?
Es deckt die Pfade ab, die Pathbreak heute verfolgt, und wir halten es aktuell, sobald AWS neue Services veröffentlicht. Wenn Sie glauben, dass etwas fehlt oder falsch ist, schreiben Sie an hello@pathbreak.io, und wir sehen es uns an.
Wie nutzt Pathbreak dies in meinem Konto?
Pathbreak verbindet sich schreibgeschützt, löst Ihre realen IAM-Richtlinien, Rollen und Vertrauensbeziehungen auf und bestätigt, welche dieser Pfade für Ihre Identitäten tatsächlich existieren. Es stuft sie danach ein, wie viel jeder eröffnet, und zeigt mit Ihrem Bedrohungsmodell und Geschäftskontext, welche wenigen Änderungen am meisten unterbrechen. Erste validierte Pfade kommen innerhalb einer Stunde zurück.
Die Dienst-Glyphen basieren auf dem AWS Architecture Icons Set, umgefärbt zur Kennzeichnung jedes Dienstes. AWS und die Dienstnamen sind Marken von Amazon Web Services. Pathbreak ist nicht mit AWS verbunden und wird nicht von AWS unterstützt.