English
Español
Français
Deutsch
日本語
한국어
العربيةMit IAM-Auth-Token mit RDS verbinden
Kann sich bei einer RDS-Instanz mit einem von IAM ausgestellten Datenbanktoken authentifizieren.
Ermöglicht Eskalation für sich allein.
rds-db:connectFür sich allein kann rds-db:connect sich bei einer RDS-Instanz mit einem von IAM ausgestellten Datenbanktoken authentifizieren. Bei einem weiten Ressourcenbereich erreicht dies allein die Daten selbst.
Warum es gefährlich ist
Ein Principal kann rds-db:connect aufrufen, um ein kurzlebiges IAM-Authentifizierungstoken für die RDS-Instanz zu erhalten und sich als Datenbankbenutzer anzumelden, ohne gespeichertes DB-Passwort. Wenn die Instanz IAM-Datenbankauthentifizierung aktiviert hat, wird die Kontrolle über den IAM-Principal zu Data-Plane-Zugriff auf die Datenbank, eine direkte Exfiltration dessen, was sie enthält.
In MITRE ATT&CK entspricht dies T1530, Data from Cloud Storage, unter der Taktik Collection. AWS protokolliert dies in CloudTrail als connect. Der Aufruf ist gegenüber normaler Aktivität unauffällig, daher ist er ohne passende Regel leicht zu übersehen.
Erkennung
connectVoraussetzungen
rds-db:connect für den dbuser-Ressourcen-ARN; die Instanz hat IAM-Datenbankauthentifizierung aktiviert und einen DB-Benutzer, der der IAM-Identität zugeordnet ist; Netzwerkerreichbarkeit zum DB-Endpoint.
MITRE ATT&CK
T1530 · Data from Cloud StorageTaktik
Collection
Eine Maßnahme, die ihn beseitigen würde: Deaktivieren Sie die IAM-Datenbankauthentifizierung, wo sie ungenutzt ist; beschränken Sie rds-db:connect auf bestimmte dbuser-Ressourcen-ARNs; bevorzugen Sie DB-Benutzer mit minimalen Rechten.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt rds-db:connect?
Kann sich bei einer RDS-Instanz mit einem von IAM ausgestellten Datenbanktoken authentifizieren.
Kann rds-db:connect allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung die Daten selbst.
Wie wird das Verbinden mit RDS über ein IAM-Authentifizierungstoken erkannt?
Achten Sie in CloudTrail auf connect. Der Aufruf ist im Vergleich zur normalen Aktivität leise, daher lässt er sich ohne eine entsprechende Regel leicht übersehen.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Deaktivieren Sie die IAM-Datenbankauthentifizierung, wo sie nicht genutzt wird; beschränken Sie rds-db:connect auf bestimmte dbuser-Ressourcen-ARNs; bevorzugen Sie DB-Benutzer nach dem Least-Privilege-Prinzip. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1530, Data from Cloud Storage, unter der Taktik Collection.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.