English
Español
Français
Deutsch
日本語
한국어
العربيةAngreifer-MFA bei Benutzer registrieren
Kann ein vom Angreifer kontrolliertes MFA-Gerät bei einem Benutzer registrieren.
Ermöglicht Eskalation nur in Kombination. All diese sind zusammen erforderlich:
iam:CreateVirtualMFADeviceiam:EnableMFADeviceiam:EnableMFADevice kann ein vom Angreifer kontrolliertes MFA-Gerät bei einem Benutzer registrieren, aber nur, wenn sie zusammen mit iam:CreateVirtualMFADevice gehalten wird. Gemeinsam gehalten erreichen sie einen dauerhaften Wiedereinstieg.
Warum es gefährlich ist
Ein Principal kann iam:CreateVirtualMFADevice und dann iam:EnableMFADevice aufrufen, um ein vom Angreifer kontrolliertes MFA-Gerät an den Benutzer zu binden und so eine Persistenz zu etablieren, die eine Rotation der Anmeldeinformationen übersteht.
In MITRE ATT&CK entspricht dies T1098.005, Account Manipulation: Device Registration, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als CreateVirtualMFADevice, EnableMFADevice. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.
Erkennung
CreateVirtualMFADeviceEnableMFADeviceVoraussetzungen
iam:CreateVirtualMFADevice + iam:EnableMFADevice für den Benutzer.
Taktik
Persistence
Eine Maßnahme, die ihn beseitigen würde: iam:CreateVirtualMFADevice / iam:EnableMFADevice vom Principal entfernen; bei neuen MFA-Registrierungen alarmieren.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt iam:EnableMFADevice?
Kann ein vom Angreifer kontrolliertes MFA-Gerät bei einem Benutzer registrieren.
Was ist außerdem nötig, damit iam:EnableMFADevice gefährlich ist?
Es wird erst zur Eskalation, wenn es mit iam:CreateVirtualMFADevice kombiniert wird. Für sich allein reicht es nicht aus, was die Kombination leicht übersehbar macht.
Wie wird das Registrieren eines Angreifer-MFA-Geräts bei einem Benutzer erkannt?
Achten Sie in CloudTrail auf CreateVirtualMFADevice, EnableMFADevice. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Entfernen Sie iam:CreateVirtualMFADevice / iam:EnableMFADevice vom Principal; alarmieren Sie bei neuen MFA-Registrierungen. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1098.005, Account Manipulation: Device Registration, unter der Taktik Persistence.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.