English
Español
Français
Deutsch
日本語
한국어
العربيةDescifrar con una clave de KMS
Puede descifrar texto cifrado protegido por una clave de KMS.
Concede escalada por sí solo.
kms:DecryptPor sí solo, kms:Decrypt puede descifrar texto cifrado protegido por una clave de KMS. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a kms:Decrypt con la clave, comprobado tanto contra la política de identidad del principal como contra la política de la clave. La clave es un guardián: el acceso de descifrado desbloquea todos los textos cifrados que protege la clave (secretos, volúmenes, instantáneas y objetos de S3 cifrados), de modo que el control de la clave se amplifica hasta el control de todos los datos que custodia.
En términos de MITRE ATT&CK, esto corresponde a T1552, Credenciales no protegidas, bajo la táctica de acceso a credenciales. AWS lo registra en CloudTrail como Decrypt. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
DecryptRequisitos previos
kms:Decrypt sobre la clave (desde la identidad O desde la política de la clave) más la posesión del texto cifrado (o acceso a él).
MITRE ATT&CK
T1552 · Credenciales sin protegerTáctica
Acceso a credenciales
Un control que lo eliminaría: Restringe la política de la clave de KMS y el kms:Decrypt del principal; usa concesiones (grants) y políticas de clave de mínimo privilegio.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite kms:Decrypt?
Puede descifrar texto cifrado protegido por una clave de KMS.
¿Puede kms:Decrypt escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta descifrar con una clave de KMS?
Vigila Decrypt en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Endurece la política de la clave KMS y kms:Decrypt del principal; usa concesiones y políticas de clave con mínimo privilegio. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1552, Credenciales sin proteger, en la táctica de acceso a credenciales.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.