English
Español
Français
Deutsch
日本語
한국어
العربيةLeer objetos de S3
Puede leer los objetos almacenados en un bucket.
Concede escalada por sí solo.
s3:GetObjectPor sí solo, s3:GetObject puede leer los objetos almacenados en un bucket. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a s3:GetObject para leer los objetos almacenados en el bucket, comprobado tanto contra la política de identidad del principal como contra la política del bucket. Este es el objetivo y no un escalón intermedio: es exfiltración directa de los datos que contenga el bucket, la brecha en sí. Su gravedad la determina la sensibilidad del bucket y no ningún acceso adicional que conceda.
En términos de MITRE ATT&CK, esto corresponde a T1530, Datos de almacenamiento cloud, bajo la táctica de recopilación. AWS lo registra en CloudTrail como GetObject, ListObjects. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
GetObjectListObjectsRequisitos previos
Ninguno más allá de s3:GetObject; la accesibilidad también se verifica con la política del bucket. (Nota: GetObject solo se registra si los eventos de datos de S3 están habilitados, de ahí noise=quiet.)
MITRE ATT&CK
T1530 · Datos del almacenamiento cloudTáctica
Recopilación
Un control que lo eliminaría: Restringe s3:GetObject y endurece la política del bucket.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite s3:GetObject?
Puede leer los objetos almacenados en un bucket.
¿Puede s3:GetObject escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta la lectura de objetos de S3?
Vigila GetObject, ListObjects en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe s3:GetObject y endurece la política del bucket. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1530, Datos del almacenamiento cloud, en la táctica de recopilación.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.