English
Español
Français
Deutsch
日本語
한국어
العربيةCrear una instantánea de un volumen EBS para exfiltrar datos
Puede crear una instantánea de un volumen de EBS y leer la copia en otro lugar.
Concede escalada por sí solo.
ec2:CreateSnapshotPor sí solo, ec2:CreateSnapshot puede crear una instantánea de un volumen EBS y leer la copia en otro lugar. Con un alcance de recursos amplio, eso por sí solo llega a acceso para un principal externo o público.
Por qué es peligroso
Un principal puede llamar a ec2:CreateSnapshot sobre el volumen para tomar una copia completa del disco en un instante dado, y después restaurarla o compartirla fuera de banda. A diferencia de desasociar y volver a asociar, esto necesita un solo permiso, no requiere una instancia en la zona de disponibilidad del volumen y no perturba la carga de trabajo en ejecución, lo que lo convierte en la ruta más silenciosa y mucho más habitual hacia los mismos datos.
En términos de MITRE ATT&CK, esto corresponde a T1005, Datos del sistema local, en la táctica de recopilación. AWS lo registra en CloudTrail como CreateSnapshot. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
CreateSnapshotRequisitos previos
ec2:CreateSnapshot sobre el volumen; una forma de leer la copia después (CreateVolume + attach, o ModifySnapshotAttribute para compartirla hacia fuera); permisos de kms si el volumen está cifrado con una CMK.
MITRE ATT&CK
T1005 · Datos del sistema localTáctica
Recopilación
Un control que lo eliminaría: Restringe ec2:CreateSnapshot a la automatización de copias de seguridad; cifra los volúmenes con una CMK que el principal no pueda usar y deniega ec2:ModifySnapshotAttribute para que no se pueda compartir una copia.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite ec2:CreateSnapshot?
Puede crear una instantánea de un volumen de EBS y leer la copia en otro lugar.
¿Puede ec2:CreateSnapshot escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a acceso para un principal externo o público sin ningún otro permiso.
¿Cómo se detecta la creación de una instantánea de un volumen de EBS para exfiltración?
Vigila CreateSnapshot en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe ec2:CreateSnapshot a la automatización de copias de seguridad; cifra los volúmenes con una CMK que el principal no pueda usar y deniega ec2:ModifySnapshotAttribute para que no se pueda compartir una copia. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1005, Datos del sistema local, en la táctica de recopilación.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.