English
Español
Français
Deutsch
日本語
한국어
العربيةRolle annehmen
Kann eine Rolle übernehmen und alle ihre Berechtigungen erben.
Ermöglicht Eskalation für sich allein.
sts:AssumeRoleFür sich allein kann sts:AssumeRole eine Rolle annehmen und alle ihre Berechtigungen erben. Bei einem weiten Ressourcenbereich erreicht dies allein Administratorzugriff.
Warum es gefährlich ist
Ein Principal kann sts:AssumeRole auf der Zielrolle aufrufen, weil die Vertrauensrichtlinie der Zielrolle ihn zulässt, und erhält einen vollständigen Satz temporärer Anmeldeinformationen der Zielrolle. Für die Dauer dieser Session wird der Principal faktisch zur Zielrolle und verfügt über jede Berechtigung, die die Zielrolle besitzt, und da die Zielrolle selbst ein Principal ist, kann sie ihrerseits weitere Rollen übernehmen und so im Konto eskalieren oder sich lateral bewegen.
In MITRE ATT&CK entspricht dies T1078.004, Valid Accounts: Cloud Accounts, unter der Taktik Lateral Movement. AWS protokolliert dies in CloudTrail als AssumeRole. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Erkennung
AssumeRoleVoraussetzungen
Die Vertrauensrichtlinie der Zielrolle muss es dem Quell-Principal (oder seinem Konto) erlauben, sie anzunehmen.
MITRE ATT&CK
T1078.004 · Valid Accounts: Cloud AccountsTaktik
Lateral Movement
Eine Maßnahme, die ihn beseitigen würde: Die Rollen-Vertrauensrichtlinie verschärfen; sts:AssumeRole vom Principal entfernen.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt sts:AssumeRole?
Kann eine Rolle übernehmen und alle ihre Berechtigungen erben.
Kann sts:AssumeRole allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung Administratorzugriff.
Wie wird das Annehmen einer Rolle erkannt?
Achten Sie in CloudTrail auf AssumeRole. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Verschärfen Sie die Vertrauensrichtlinie der Rolle; entfernen Sie sts:AssumeRole vom Principal. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1078.004, Valid Accounts: Cloud Accounts, unter der Taktik Lateral Movement.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.