English
Español
Français
Deutsch
日本語
한국어
العربيةLöschung eines KMS-Schlüssels planen
Kann einen KMS-Schlüssel zur Löschung einplanen und so alles zerstören, was er verschlüsselt.
Ermöglicht Eskalation für sich allein.
kms:ScheduleKeyDeletionFür sich allein kann kms:ScheduleKeyDeletion einen KMS-Schlüssel zur Löschung vormerken und alles zerstören, was er verschlüsselt. Bei einem weiten Ressourcenbereich erreicht dies allein Zugriff für einen externen oder öffentlichen Principal.
Warum es gefährlich ist
Ein Principal kann kms:ScheduleKeyDeletion auf dem kundenverwalteten Schlüssel aufrufen. Sobald die Wartezeit abgelaufen ist, wird das Schlüsselmaterial zerstört, und jedes Objekt, jeder Snapshot, jedes Secret und jeder Parameter, der damit verschlüsselt wurde, wird dauerhaft unlesbar, ein kontoweiter Datenvernichtungszug mit einem einzigen Aufruf, den kein Backup des Chiffretexts rückgängig machen kann. Das Löschen des Schlüssels blendet auch alles, was auf die Entschlüsselung damit angewiesen war.
In MITRE ATT&CK entspricht dies T1485, Data Destruction, unter der Taktik Impact. AWS protokolliert dies in CloudTrail als ScheduleKeyDeletion. Der Aufruf ist in CloudTrail gut sichtbar und hebt sich von normaler Aktivität ab.
Erkennung
ScheduleKeyDeletionVoraussetzungen
kms:ScheduleKeyDeletion für den Schlüssel, erlaubt sowohl durch die Identitätsrichtlinie als auch die Schlüsselrichtlinie. Vor der Zerstörung des Schlüsselmaterials gilt eine Wartefrist von 7 bis 30 Tagen.
MITRE ATT&CK
T1485 · Data DestructionTaktik
Impact
Eine Maßnahme, die ihn beseitigen würde: kms:ScheduleKeyDeletion auf Schlüsseladministratoren beschränken; außerhalb einer Break-Glass-Rolle per SCP verweigern.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt kms:ScheduleKeyDeletion?
Kann einen KMS-Schlüssel zur Löschung einplanen und so alles zerstören, was er verschlüsselt.
Kann kms:ScheduleKeyDeletion allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung Zugriff für einen externen oder öffentlichen Principal.
Wie wird das Planen der Löschung eines KMS-Schlüssels erkannt?
Achten Sie in CloudTrail auf ScheduleKeyDeletion. Der Aufruf ist in CloudTrail laut und hebt sich von der normalen Aktivität ab.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie kms:ScheduleKeyDeletion auf Schlüssel-Administratoren; verweigern Sie es via SCP außerhalb einer Break-Glass-Rolle. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1485, Data Destruction, unter der Taktik Impact.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.