AWS 向け Pathbreak 攻撃マップ

プリンシパルが、誰が何をできるかを変更したり、より高い権限を持つロールとしてコードを実行したりできるようにする権限です。iam:PutRolePolicy、iam:AttachRolePolicy、iam:CreatePolicyVersion、iam:UpdateAssumeRolePolicy、そしてコンピューティングサービスと組み合わせた iam:PassRole などが該当します。このマップには、Pathbreak が追跡するすべての権限と、その経路を断ち切る変更が掲載されています。

iam:PassRole は、プリンシパルが IAM ロールを AWS サービスに渡すことを可能にします。ワイルドカードのリソースに対して付与されると、攻撃者は特権を持つロールを実行可能なサービス (EC2、Lambda、ECS など) に渡し、そのロールを継承します。iam:PassRole を特定のロール ARN にスコープを絞り、iam:PassedToService を固定してください。

iam:PassRole のスコープを絞り、ロールにアクセス許可境界を設定し、変更管理ロール以外からの IAM ポリシーと信頼の編集を拒否して、ここに挙げた CloudTrail イベントに対してアラートを設定します。Pathbreak はどの経路がアカウント内で成立するかを検証し、最も多くを断ち切る数少ない変更を順位付けします。

はい。認証情報へのアクセス、防御回避、リソースの露出、データへのアクセス、そして永続化も対象とします。実際の攻撃経路は、影響に至る過程でこれらのカテゴリーをまたぐためです。

これは、攻撃者が管理者権限、データ、または永続化へと連鎖させられる AWS 権限の公開リファレンスです。それぞれに専用のページがあり、どのように使われるか、それを捉える CloudTrail イベント、MITRE ATT&CK テクニック、そして経路を取り除くコントロールを掲載しています。Pathbreak がアカウント内部で推論している内容の公開版です。

クラウドセキュリティエンジニア、検知エンジニア、レッドチーム、そして IAM ポリシーを記述するすべての方へ。権限を付与する前にその権限が何を可能にするかを理解したり、検知ルールを作成したり、アカウントの脅威モデリングを行うためにご活用ください。

権限、サービス、または権限の組み合わせで検索します。いずれかのエントリを開くと、攻撃チェーン、今日アラートを設定できる検知イベント、MITRE テクニック、そしてその経路を断ち切る変更を確認できます。各ページはリンクできる独立した参考資料です。

一部の権限は単独で権限昇格を可能にします。多くは、他の権限と併せ持ったときにのみ可能になります。例えば iam:PassRole とサービスアクションの組み合わせです。こうした組み合わせは、一度に 1 つのポリシーを見るレビューでは見落とされがちなため、攻撃マップでは各エントリにラベルを付け、組み合わせだけに絞り込めるようにしています。

これは Pathbreak が現在追跡している経路を扱っており、AWS が新しいサービスを提供するのに合わせて最新の状態に保っています。不足している点や誤りがあると思われる場合は、hello@pathbreak.io までメールをお送りいただければ確認します。

Pathbreak は読み取り専用で接続し、実際の IAM ポリシー、ロール、信頼関係を解決して、これらの経路のどれがお客様の ID に対して実際に存在するかを確認します。それぞれがどれだけ侵入口を広げるかで順位付けし、お客様の脅威モデルとビジネス上の背景とあわせて、最も効果の大きいわずかな変更を示します。最初の検証済み経路は 1 時間以内に返ってきます。