English
Español
Français
Deutsch
日本語
한국어
العربيةLeer un parámetro SecureString de SSM
Puede leer y descifrar un parámetro SecureString de SSM.
Concede escalada por sí solo.
ssm:GetParameterPor sí solo, ssm:GetParameter puede leer y descifrar un parámetro SecureString de SSM. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a ssm:GetParameter para leer un parámetro SecureString, descifrando su valor. Los parámetros SecureString suelen almacenar credenciales, claves de API y tokens, así que leer uno es robo directo de credenciales y un pivote hacia la identidad a la que pertenecen esas credenciales.
En términos de MITRE ATT&CK, esto corresponde a T1555.006, Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloud, bajo la táctica de acceso a credenciales. AWS lo registra en CloudTrail como GetParameter, GetParameters. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
GetParameterGetParametersRequisitos previos
ssm:GetParameter sobre el parámetro y kms:Decrypt sobre su clave de cifrado (predeterminada o administrada por el cliente).
MITRE ATT&CK
T1555.006 · Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloudTáctica
Acceso a credenciales
Un control que lo eliminaría: Restringe ssm:GetParameter; da preferencia a Secrets Manager con rotación para las credenciales.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite ssm:GetParameter?
Puede leer y descifrar un parámetro SecureString de SSM.
¿Puede ssm:GetParameter escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta la lectura de un parámetro SecureString de SSM?
Vigila GetParameter, GetParameters en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe ssm:GetParameter; prefiere Secrets Manager con rotación para las credenciales. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1555.006, Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloud, en la táctica de acceso a credenciales.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.