Persistence Organizations T1136.003 Persistence

Konto erstellen und Admin übernehmen

Kann ein Mitgliedskonto erstellen und seine Standard-Admin-Rolle übernehmen.

Ermöglicht Eskalation nur in Kombination. All diese sind zusammen erforderlich:

organizations:CreateAccountsts:AssumeRole

Wichtigste Erkenntnis

organizations:CreateAccount kann ein Mitgliedskonto erstellen und dessen standardmäßige Admin-Rolle annehmen, aber nur, wenn sie zusammen mit sts:AssumeRole gehalten wird. Gemeinsam gehalten erreichen sie einen dauerhaften Wiedereinstieg.

Wie ein Angreifer von dieser Berechtigung aus vorgeht.

In Pathbreak erkunden

Warum es gefährlich ist

Ein Principal kann organizations:CreateAccount aufrufen, um ein frisches Mitgliedskonto zu erstellen, dessen Standard-OrganizationAccountAccessRole dem Management-Konto vertraut, und dann als Administrator hineinwechseln, eine dauerhafte, wenig sichtbare Persistenz.

In MITRE ATT&CK entspricht dies T1136.003, Create Account: Cloud Account, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als CreateAccountResult, AssumeRole. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.

Erkennung

CreateAccountResultAssumeRole

Voraussetzungen

organizations:CreateAccount + sts:AssumeRole vom Management-Konto.

MITRE ATT&CK

T1136.003 · Create Account: Cloud Account

Taktik

Persistence

Den Pfad unterbrechen

Eine Maßnahme, die ihn beseitigen würde: organizations:CreateAccount auf eine Break-Glass-Rolle beschränken; bei der Erstellung neuer Konten alarmieren.

Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.

Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.

Fragen

Was erlaubt organizations:CreateAccount?

Kann ein Mitgliedskonto erstellen und seine Standard-Admin-Rolle übernehmen.

Was ist außerdem nötig, damit organizations:CreateAccount gefährlich ist?

Es wird erst zur Eskalation, wenn es mit sts:AssumeRole kombiniert wird. Für sich allein reicht es nicht aus, was die Kombination leicht übersehbar macht.

Wie wird das Erstellen eines Kontos und Übernehmen von Admin-Rechten erkannt?

Achten Sie in CloudTrail auf CreateAccountResult, AssumeRole. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.

Wie unterbricht man diesen Pfad?

Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie organizations:CreateAccount auf eine Break-Glass-Rolle; alarmieren Sie bei der Erstellung neuer Konten. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.

Welche MITRE ATT&CK Technik ist das?

T1136.003, Create Account: Cloud Account, unter der Taktik Persistence.

Referenzen

https://attack.mitre.org/techniques/T1136/003/

Finden Sie dies in Ihrem eigenen Konto

Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.

Kostenlosen Scan anfragen Sehen Sie sich das 7-minütige Walkthrough an