English
Español
Français
Deutsch
日本語
한국어
العربيةGenerar credenciales de base de datos IAM de Redshift
Puede generar un inicio de sesión temporal de base de datos con IAM y leer un clúster de Redshift.
Concede escalada por sí solo.
redshift:GetClusterCredentialsPor sí solo, redshift:GetClusterCredentials puede generar un inicio de sesión temporal de base de datos IAM y leer un clúster de Redshift. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a redshift:GetClusterCredentials sobre el clúster para que AWS genere un nombre de usuario y una contraseña de base de datos de corta duración vinculados a la identidad IAM del principal, y después conectarse al clúster y consultarlo. Esto conecta un punto de apoyo solo de IAM con el plano de datos de Redshift sin contraseña de BD almacenada: el control del principal de IAM se convierte en acceso de lectura a todo lo que contenga el almacén.
En términos de MITRE ATT&CK, esto corresponde a T1530, Datos de almacenamiento cloud, bajo la táctica de recopilación. AWS lo registra en CloudTrail como GetClusterCredentials, GetClusterCredentialsWithIAM. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
GetClusterCredentialsGetClusterCredentialsWithIAMRequisitos previos
redshift:GetClusterCredentials sobre el clúster; el usuario de BD se crea automáticamente si AutoCreate está permitido. Se supone conectividad de red con el endpoint del clúster (los clústeres publicly_accessible no necesitan ninguna).
MITRE ATT&CK
T1530 · Datos del almacenamiento cloudTáctica
Recopilación
Un control que lo eliminaría: Restringe redshift:GetClusterCredentials (y GetClusterCredentialsWithIAM); acótalo a dbuser/dbname concretos; da preferencia a roles de base de datos de corta duración y auditados.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite redshift:GetClusterCredentials?
Puede generar un inicio de sesión temporal de base de datos con IAM y leer un clúster de Redshift.
¿Puede redshift:GetClusterCredentials escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta la emisión de credenciales de base de datos IAM de Redshift?
Vigila GetClusterCredentials, GetClusterCredentialsWithIAM en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe redshift:GetClusterCredentials (y GetClusterCredentialsWithIAM); acótalo a dbuser/dbname específicos; prefiere roles de BD auditados y de corta duración. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1530, Datos del almacenamiento cloud, en la táctica de recopilación.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.