Persistence IAM T1556 Persistence

Einen SAML-Provider übernehmen, um vertrauende Rollen anzunehmen

Kann den SAML-Provider, dem eine Rolle vertraut, ersetzen und so föderierte Logins als diese fälschen.

Ermöglicht Eskalation für sich allein.

iam:UpdateSAMLProvider

Wichtigste Erkenntnis

Für sich allein kann iam:UpdateSAMLProvider den SAML-Provider, dem eine Rolle vertraut, ersetzen und föderierte Anmeldungen als diese fälschen. Bei einem weiten Ressourcenbereich erreicht dies allein einen dauerhaften Wiedereinstieg.

Wie ein Angreifer von dieser Berechtigung aus vorgeht.

In Pathbreak erkunden

Warum es gefährlich ist

Ein Principal kann iam:UpdateSAMLProvider aufrufen, um das SAML-Metadatendokument zu ersetzen, dem die Zielrolle vertraut, und so vom Angreifer erzeugte SAML-Assertions gültig zu machen. Anschließend ruft er sts:AssumeRoleWithSAML auf, um die Zielrolle direkt zu übernehmen, dieser STS-Aufruf ist durch die Vertrauensrichtlinie der Zielrolle autorisiert (die dem Provider bereits vertraut), nicht durch irgendeine Identitätsberechtigung, es ist also keine zweite Aktion nötig. Ist die Zielrolle privilegiert, ist dies eine vollständige Föderationsübernahme.

In MITRE ATT&CK entspricht dies T1556, Modify Authentication Process, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als UpdateSAMLProvider. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.

Erkennung

UpdateSAMLProvider

Voraussetzungen

iam:UpdateSAMLProvider für einen SAML-Provider, dem mindestens eine Rolle vertraut (gleiches Konto). Für das anschließende AssumeRoleWithSAML ist keine Identitätsberechtigung nötig, das Vertrauen der Rolle autorisiert es.

MITRE ATT&CK

T1556 · Modify Authentication Process

Taktik

Persistence

Den Pfad unterbrechen

Eine Maßnahme, die ihn beseitigen würde: iam:UpdateSAMLProvider auf Break-Glass-Admins beschränken; darauf alarmieren (CloudTrail); das Rollenvertrauen an bestimmte SAML-Attribute binden.

Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.

Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.

Fragen

Was erlaubt iam:UpdateSAMLProvider?

Kann den SAML-Provider, dem eine Rolle vertraut, ersetzen und so föderierte Logins als diese fälschen.

Kann iam:UpdateSAMLProvider allein Privilegien eskalieren?

Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung einen dauerhaften Wiedereinstieg.

Wie wird das Übernehmen eines SAML-Providers, um vertrauende Rollen anzunehmen erkannt?

Achten Sie in CloudTrail auf UpdateSAMLProvider. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.

Wie unterbricht man diesen Pfad?

Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie iam:UpdateSAMLProvider auf Break-Glass-Administratoren; alarmieren Sie bei dieser Aktion (CloudTrail); binden Sie das Rollenvertrauen an bestimmte SAML-Attribute. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.

Welche MITRE ATT&CK Technik ist das?

T1556, Modify Authentication Process, unter der Taktik Persistence.

Referenzen

Finden Sie dies in Ihrem eigenen Konto

Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.

Kostenlosen Scan anfragen Sehen Sie sich das 7-minütige Walkthrough an