English
Español
Français
Deutsch
日本語
한국어
العربيةAccess Key rotieren, um Anmeldeinformationen für einen Benutzer zu erzeugen
Kann einen Key austauschen, um einen neuen Access Key für einen Benutzer zu erzeugen.
Ermöglicht Eskalation nur in Kombination. All diese sind zusammen erforderlich:
iam:CreateAccessKeyiam:DeleteAccessKeyiam:CreateAccessKey kann einen Schlüssel ausrotieren, um einen neuen Access Key für einen Benutzer zu erzeugen, aber nur, wenn sie zusammen mit iam:DeleteAccessKey gehalten wird. Gemeinsam gehalten erreichen sie nutzbare Anmeldeinformationen.
Warum es gefährlich ist
Ein Principal kann iam:DeleteAccessKey aufrufen, um einen der bestehenden Access Keys des Benutzers zu entfernen, und dann iam:CreateAccessKey, um einen brandneuen, langlebigen Key unter der Kontrolle des Principals zu erzeugen, ohne eines der Secrets des Zielbenutzers zu kennen. Anders als das bloße Erzeugen eines Keys umgeht das zusätzliche Löschen das AWS-Limit von zwei Access Keys pro Benutzer, dies funktioniert also auch dann, wenn der Zielbenutzer bereits die maximalen zwei Keys hält. Von da an authentifiziert der Principal die API als der Zielbenutzer; der neue Key ist unabhängig von den übrigen Anmeldeinformationen des Zielbenutzers, er ist also sowohl eine Kontoübernahme als auch ein dauerhafter Persistenz-Fußabdruck.
In MITRE ATT&CK entspricht dies T1098.001, Account Manipulation: Additional Cloud Credentials, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als CreateAccessKey, DeleteAccessKey. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.
Erkennung
CreateAccessKeyDeleteAccessKeyVoraussetzungen
Verfügt neben iam:CreateAccessKey auch über iam:DeleteAccessKey, sodass es selbst dann funktioniert, wenn der Zielbenutzer bereits das Maximum von 2 Schlüsseln hat (wo ein einfaches CreateAccessKey fehlschlagen würde).
Taktik
Persistence
Eine Maßnahme, die ihn beseitigen würde: iam:CreateAccessKey und iam:DeleteAccessKey vom Principal entfernen.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt iam:CreateAccessKey?
Kann einen Key austauschen, um einen neuen Access Key für einen Benutzer zu erzeugen.
Was ist außerdem nötig, damit iam:CreateAccessKey gefährlich ist?
Es wird erst zur Eskalation, wenn es mit iam:DeleteAccessKey kombiniert wird. Für sich allein reicht es nicht aus, was die Kombination leicht übersehbar macht.
Wie wird das Rotieren eines Zugriffsschlüssels, um Anmeldeinformationen für einen Benutzer zu erzeugen erkannt?
Achten Sie in CloudTrail auf CreateAccessKey, DeleteAccessKey. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Entfernen Sie iam:CreateAccessKey und iam:DeleteAccessKey vom Principal. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1098.001, Account Manipulation: Additional Cloud Credentials, unter der Taktik Persistence.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.