기본 정책 버전 생성

연결된 관리형 정책의 새 기본 버전을 생성할 수 있습니다..

그 자체만으로 권한 상승을 허용합니다.

위험한 이유

주체가 연결된 고객 관리형 정책에서 iam:CreatePolicyVersion을 호출하고 기본값으로 표시된 새 버전을 게시할 수 있습니다. 이는 주체 자신을 포함하여 그 정책이 연결된 모든 대상의 유효 권한을 소리 없이 다시 작성하므로, 주체는 한 번의 호출로 자신에게 완전한 관리자 접근 권한을 부여할 수 있습니다. AWS 관리형 정책은 버전을 지정할 수 없어 이에 영향을 받지 않으므로, 고객 관리형 정책만 대상이 됩니다.

MITRE ATT&CK 기준으로 이는 권한 상승 전술의 T1098.003, Account Manipulation: Additional Cloud Roles에 해당합니다. AWS는 이를 CloudTrail에 CreatePolicyVersion, SetDefaultPolicyVersion로 기록합니다. 이 호출은 CloudTrail에 나타나지만 일반적인 관리 작업에 섞여 들어가므로, 눈에 띄게 하려면 별도의 규칙이 필요합니다. 또한 이는 공격자가 최초 거점이 차단된 후에도 접근을 유지할 수 있는 수단을 제공하므로, 일상적인 관리 작업처럼 보일 때에도 주시할 가치가 있습니다.

질문

관련 경로

참고 자료

• https://attack.mitre.org/techniques/T1098/003/