English
Español
Français
Deutsch
日本語
한국어
العربيةAsumir un rol
Puede asumir un rol y heredar todos sus permisos.
Concede escalada por sí solo.
sts:AssumeRolePor sí solo, sts:AssumeRole puede asumir un rol y heredar todos sus permisos. Con un alcance de recursos amplio, eso por sí solo llega a acceso de administrador.
Por qué es peligroso
Un principal puede llamar a sts:AssumeRole sobre el rol objetivo porque la política de confianza del rol objetivo lo admite, recibiendo un conjunto completo de credenciales temporales del rol objetivo. Mientras dura esa sesión, el principal se convierte en la práctica en el rol objetivo y ejerce todos los permisos que este posee; y como el rol objetivo es a su vez un principal, puede asumir otros roles, escalando o moviéndose lateralmente por la cuenta.
En términos de MITRE ATT&CK, esto corresponde a T1078.004, Cuentas válidas: cuentas cloud, en la táctica de movimiento lateral. AWS lo registra en CloudTrail como AssumeRole. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.
Detección
AssumeRoleRequisitos previos
La política de confianza del rol objetivo debe permitir que el principal de origen (o su cuenta) lo asuma.
MITRE ATT&CK
T1078.004 · Cuentas válidas: cuentas cloudTáctica
Movimiento lateral
Un control que lo eliminaría: Restringe la política de confianza del rol; quita sts:AssumeRole del principal.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite sts:AssumeRole?
Puede asumir un rol y heredar todos sus permisos.
¿Puede sts:AssumeRole escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a acceso de administrador sin ningún otro permiso.
¿Cómo se detecta asumir un rol?
Vigila AssumeRole en CloudTrail. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Endurece la política de confianza del rol; elimina sts:AssumeRole del principal. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1078.004, Cuentas válidas: cuentas cloud, en la táctica de movimiento lateral.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.