English
Español
Français
Deutsch
日本語
한국어
العربيةEjecutar un comando mediante SSM
Puede ejecutar comandos arbitrarios en una instancia mediante SSM.
Concede escalada por sí solo.
ssm:SendCommandPor sí solo, ssm:SendCommand puede ejecutar comandos arbitrarios en una instancia mediante SSM. Con un alcance de recursos amplio, eso por sí solo llega a acceso de administrador.
Por qué es peligroso
Un principal puede llamar a ssm:SendCommand para ejecutar comandos arbitrarios en la instancia gestionada por SSM sin sesión interactiva, par de claves ni puerto abierto. Eso es ejecución de código no interactiva en la instancia, que permite al principal robar las credenciales del rol de la instancia y pivotar, el mismo resultado de control que StartSession a través de una API distinta.
En términos de MITRE ATT&CK, esto corresponde a T1651, Comando de administración cloud, bajo la táctica de movimiento lateral. AWS lo registra en CloudTrail como SendCommand. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.
Detección
SendCommandRequisitos previos
La instancia objetivo ejecuta el agente de SSM y está registrada (etiqueta ssm-managed).
MITRE ATT&CK
T1651 · Comando de administración cloudTáctica
Movimiento lateral
Un control que lo eliminaría: Restringe ssm:SendCommand solo a principales break-glass.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite ssm:SendCommand?
Puede ejecutar comandos arbitrarios en una instancia mediante SSM.
¿Puede ssm:SendCommand escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a acceso de administrador sin ningún otro permiso.
¿Cómo se detecta la ejecución de comandos mediante SSM?
Vigila SendCommand en CloudTrail. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe ssm:SendCommand solo a principales break-glass. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1651, Comando de administración cloud, en la táctica de movimiento lateral.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.