English
Español
Français
Deutsch
日本語
한국어
العربيةKMS キーの削除をスケジュールする
KMS キーを削除予約し、そのキーで暗号化されたすべてを破壊できます。
単独で権限昇格を付与します。
kms:ScheduleKeyDeletionkms:ScheduleKeyDeletion は単独でも、KMS キーの削除をスケジュールし、それが暗号化しているすべてを破壊できます。広いリソーススコープでは、それだけで外部または公開プリンシパルによるアクセスに至ります。
なぜ危険なのか
プリンシパルはカスタマー管理のキーに対して kms:ScheduleKeyDeletion を呼び出せます。待機期間が経過するとキーマテリアルは破棄され、それで暗号化されたすべてのオブジェクト、スナップショット、シークレット、パラメータは永久に読み取れなくなります。暗号文のいかなるバックアップでも元に戻せない、1 回の呼び出しでアカウント全体に及ぶデータ破壊の手口です。キーの削除は、それでの復号に依存していたあらゆるものも見えなくします。
MITRE ATT&CK では、これは影響戦術の T1485 (データ破壊) に対応します。AWS はこれを CloudTrail に ScheduleKeyDeletion として記録します。この呼び出しは CloudTrail で目立ち、通常のアクティビティから際立ちます。
検知
ScheduleKeyDeletion前提条件
キーに対する kms:ScheduleKeyDeletion。アイデンティティポリシーとキーポリシーの両方で許可されています。キーマテリアルが破棄されるまでに 7 日から 30 日の待機期間が適用されます。
MITRE ATT&CK
T1485 · データ破壊戦術
影響
これを取り除くコントロール: kms:ScheduleKeyDeletion をキー管理者に限定し、ブレークグラスロール以外では SCP で拒否します。
適用するかどうかは、その権限が環境内でどう使われているかによるため、自動的な修正ではなくビジネス上の判断となります。同じ権限でも、あるアカウントでは不可欠であり、別のアカウントでは純粋なリスクとなることがあります。
Pathbreak は、この経路がお客様のアカウントで成立するかどうかを確認し、どれだけ侵入口を広げるかで他の経路と比較して順位付けし、お客様の脅威モデルとビジネス上の背景を用いて、断ち切る価値のある経路を示します。
質問
kms:ScheduleKeyDeletion は何を可能にしますか。
KMS キーを削除予約し、そのキーで暗号化されたすべてを破壊できます。
kms:ScheduleKeyDeletion は単独で権限昇格できますか。
はい。十分に広いリソースに対して保持されていれば、他の権限なしで外部または公開されたプリンシパルへのアクセスに到達します。
KMS キー削除のスケジュールはどのように検知されますか。
CloudTrail で ScheduleKeyDeletion を監視します。この呼び出しは CloudTrail で目立ち、通常の活動から際立ちます。
この経路はどうやって断ち切りますか。
これを取り除くコントロールの一例は次のとおりです。kms:ScheduleKeyDeletion をキー管理者に限定し、ブレークグラス用ロール以外では SCP で拒否します。適用するかどうかは、その権限がアカウント内でどう使われているかによるため、自動的な修正ではなくビジネス上の判断となります。
これはどの MITRE ATT&CK テクニックですか。
T1485、データ破壊、影響戦術に該当します。
関連する経路
参考資料
これを自分のアカウントで見つける
1 つの AWS アカウントに対して読み取り専用のスキャンを実行し、これらの経路のうちどれが存在するかを、影響範囲の順に、それぞれを断ち切る変更とともにお見せします。最初の検証済み経路は 1 時間以内に得られます。