English
Español
Français
Deutsch
日本語
한국어
العربيةLeer un secreto de Secrets Manager
Puede leer el valor de un secreto de Secrets Manager.
Concede escalada por sí solo.
secretsmanager:GetSecretValuePor sí solo, secretsmanager:GetSecretValue puede leer el valor de un secreto de Secrets Manager. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a secretsmanager:GetSecretValue para leer el secreto, comprobado tanto contra la política de identidad del principal como contra la política de recursos del secreto. Un secreto contiene con frecuencia las credenciales de larga duración de otro principal (contraseñas de BD, claves de API, claves de acceso de IAM), así que leerlo es a la vez el objetivo y un multiplicador de movimiento lateral: el control del secreto puede convertirse en el control de una identidad nueva.
En términos de MITRE ATT&CK, esto corresponde a T1555.006, Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloud, bajo la táctica de acceso a credenciales. AWS lo registra en CloudTrail como GetSecretValue. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
GetSecretValueRequisitos previos
secretsmanager:GetSecretValue sobre el secreto (desde la identidad O desde la política de recursos del secreto); kms:Decrypt sobre la clave de cifrado en el caso de una CMK administrada por el cliente.
MITRE ATT&CK
T1555.006 · Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloudTáctica
Acceso a credenciales
Un control que lo eliminaría: Acota la política de recursos del secreto y secretsmanager:GetSecretValue del principal; rota los secretos expuestos.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite secretsmanager:GetSecretValue?
Puede leer el valor de un secreto de Secrets Manager.
¿Puede secretsmanager:GetSecretValue escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta la lectura de un secreto de Secrets Manager?
Vigila GetSecretValue en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Acota la política de recursos del secreto y secretsmanager:GetSecretValue del principal; rota los secretos expuestos. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1555.006, Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloud, en la táctica de acceso a credenciales.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.