English
Español
Français
Deutsch
日本語
한국어
العربيةLeer una tabla de DynamoDB
Puede leer elementos de una tabla de DynamoDB.
Concede escalada por sí solo.
dynamodb:GetItemPor sí solo, dynamodb:GetItem puede leer elementos de una tabla de DynamoDB. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a dynamodb:GetItem para leer elementos de la tabla, una exfiltración directa de lo que contenga la tabla. DynamoDB es una API con endpoint público y acceso controlado por IAM, por lo que esto es una lectura del plano de control sin ninguna condición previa de red. Es el objetivo, no un paso intermedio; la gravedad depende de la sensibilidad de la tabla.
En términos de MITRE ATT&CK, esto corresponde a T1530, Datos de almacenamiento cloud, bajo la táctica de recopilación. AWS lo registra en CloudTrail como GetItem, Query, Scan. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
GetItemQueryScanRequisitos previos
dynamodb:GetItem (o Query/Scan) sobre la tabla.
MITRE ATT&CK
T1530 · Datos del almacenamiento cloudTáctica
Recopilación
Un control que lo eliminaría: Restringe dynamodb:GetItem/Query/Scan a los principales que lo necesiten.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite dynamodb:GetItem?
Puede leer elementos de una tabla de DynamoDB.
¿Puede dynamodb:GetItem escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta la lectura de una tabla de DynamoDB?
Vigila GetItem, Query, Scan en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe dynamodb:GetItem/Query/Scan a los principales que lo necesiten. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1530, Datos del almacenamiento cloud, en la táctica de recopilación.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.