English
Español
Français
Deutsch
日本語
한국어
العربيةEBS-Volume für Exfiltration snapshotten
Kann einen Snapshot eines EBS-Volumes erstellen und die Kopie anderswo lesen.
Ermöglicht Eskalation für sich allein.
ec2:CreateSnapshotFür sich allein kann ec2:CreateSnapshot einen Snapshot eines EBS-Volumes erstellen und die Kopie anderswo lesen. Bei einem weiten Ressourcenbereich erreicht dies allein Zugriff für einen externen oder öffentlichen Principal.
Warum es gefährlich ist
Ein Principal kann ec2:CreateSnapshot auf dem Volume aufrufen, um eine vollständige Point-in-Time-Kopie der Festplatte zu erstellen, und diese Kopie dann außerhalb des regulären Wegs wiederherstellen oder teilen. Anders als Detach-and-Reattach benötigt dies nur eine Berechtigung, keine Instanz in der Availability Zone des Volumes, und stört die laufende Workload nicht, was es zur unauffälligeren und weitaus häufigeren Route zu denselben Daten macht.
In MITRE ATT&CK entspricht dies T1005, Data from Local System, unter der Taktik Collection. AWS protokolliert dies in CloudTrail als CreateSnapshot. Der Aufruf ist gegenüber normaler Aktivität unauffällig, daher ist er ohne passende Regel leicht zu übersehen.
Erkennung
CreateSnapshotVoraussetzungen
ec2:CreateSnapshot für das Volume; eine Möglichkeit, die Kopie anschließend zu lesen (CreateVolume + Anhängen oder ModifySnapshotAttribute, um sie freizugeben); kms-Grants, falls das Volume CMK-verschlüsselt ist.
MITRE ATT&CK
T1005 · Data from Local SystemTaktik
Collection
Eine Maßnahme, die ihn beseitigen würde: ec2:CreateSnapshot auf die Backup-Automatisierung beschränken; Volumes mit einem CMK verschlüsseln, den der Principal nicht verwenden kann, und ec2:ModifySnapshotAttribute verweigern, damit eine Kopie nicht freigegeben werden kann.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt ec2:CreateSnapshot?
Kann einen Snapshot eines EBS-Volumes erstellen und die Kopie anderswo lesen.
Kann ec2:CreateSnapshot allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung Zugriff für einen externen oder öffentlichen Principal.
Wie wird das Erstellen eines Snapshots eines EBS-Volumes zur Exfiltration erkannt?
Achten Sie in CloudTrail auf CreateSnapshot. Der Aufruf ist im Vergleich zur normalen Aktivität leise, daher lässt er sich ohne eine entsprechende Regel leicht übersehen.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie ec2:CreateSnapshot auf die Backup-Automatisierung; verschlüsseln Sie Volumes mit einem CMK, den der Principal nicht verwenden kann, und verweigern Sie ec2:ModifySnapshotAttribute, damit eine Kopie nicht nach außen geteilt werden kann. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1005, Data from Local System, unter der Taktik Collection.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.