diff --git a/src/pentesting-cloud/aws-security/aws-basic-information/README.md b/src/pentesting-cloud/aws-security/aws-basic-information/README.md index 968c6f527..8091aaf5a 100644 --- a/src/pentesting-cloud/aws-security/aws-basic-information/README.md +++ b/src/pentesting-cloud/aws-security/aws-basic-information/README.md @@ -8,32 +8,32 @@ ### Rekeninge -In AWS is daar 'n **root rekening**, wat die **ouerhouer vir al die rekeninge** vir jou **organisasie** is. Jy hoef egter nie daardie rekening te gebruik om hulpbronne te ontplooi nie, jy kan **ander rekeninge skep om verskillende AWS** infrastruktuur van mekaar te skei. +In AWS is daar 'n **root rekening**, wat die **ouerhouer is vir al die rekeninge** van jou **organisasie**. Jy hoef egter nie daardie rekening te gebruik om hulpbronne te ontplooi nie, jy kan **ander rekeninge skep om verskillende AWS** infrastruktuur van mekaar te skei. -Dit is baie interessant vanuit 'n **veiligheid** oogpunt, aangesien **een rekening nie hulpbronne van 'n ander rekening kan toegang nie** (tenzij brûe spesifiek geskep word), so op hierdie manier kan jy grense tussen ontplooiings skep. +Dit is baie interessant vanuit 'n **veiligheid** oogpunt, aangesien **een rekening nie toegang sal hê tot hulpbronne van 'n ander rekening** nie (behalwe as brûe spesifiek geskep word), so op hierdie manier kan jy grense tussen ontplooiings skep. -Daarom is daar **twee tipes rekeninge in 'n organisasie** (ons praat van AWS rekeninge en nie Gebruiker rekeninge nie): 'n enkele rekening wat as die bestuurrekening aangewys word, en een of meer lidrekeninge. +Daarom is daar **twee tipes rekeninge in 'n organisasie** (ons praat van AWS rekeninge en nie gebruikersrekeninge nie): 'n enkele rekening wat as die bestuurrekening aangewys word, en een of meer lidrekeninge. - Die **bestuurrekening (die root rekening)** is die rekening wat jy gebruik om die organisasie te skep. Van die organisasie se bestuurrekening af, kan jy die volgende doen: -- Skep rekeninge in die organisasie -- Nooi ander bestaande rekeninge na die organisasie -- Verwyder rekeninge uit die organisasie -- Bestuur uitnodigings -- Pas beleide toe op entiteite (wortels, OUs, of rekeninge) binne die organisasie -- Aktiveer integrasie met ondersteunende AWS dienste om diensfunksionaliteit oor al die rekeninge in die organisasie te bied. -- Dit is moontlik om in te log as die root gebruiker met die e-pos en wagwoord wat gebruik is om hierdie root rekening/organisasie te skep. +- Rekeninge in die organisasie skep +- Ander bestaande rekeninge na die organisasie nooi +- Rekeninge uit die organisasie verwyder +- Uitnodigings bestuur +- Beleide toepas op entiteite (wortels, OUs, of rekeninge) binne die organisasie +- Integrasie met ondersteunende AWS dienste inskakel om diensfunksionaliteit oor al die rekeninge in die organisasie te bied. +- Dit is moontlik om as die root gebruiker aan te meld met die e-pos en wagwoord wat gebruik is om hierdie root rekening/organisasie te skep. Die bestuurrekening het die **verantwoordelikhede van 'n betaler rekening** en is verantwoordelik vir die betaling van alle koste wat deur die lidrekeninge opgeloop word. Jy kan nie 'n organisasie se bestuurrekening verander nie. - **Lidrekeninge** maak al die res van die rekeninge in 'n organisasie uit. 'n Rekening kan slegs 'n lid van een organisasie op 'n slag wees. Jy kan 'n beleid aan 'n rekening koppel om kontroles slegs op daardie een rekening toe te pas. -- Lidrekeninge **moet 'n geldige e-posadres gebruik** en kan 'n **naam** hê, in die algemeen sal hulle nie in staat wees om die faktuur te bestuur nie (maar hulle mag toegang daartoe gegee word). +- Lidrekeninge **moet 'n geldige e-posadres gebruik** en kan 'n **naam** hê; in die algemeen sal hulle nie in staat wees om die faktuur te bestuur nie (maar hulle mag toegang daartoe gegee word). ``` aws organizations create-account --account-name testingaccount --email testingaccount@lalala1233fr.com ``` -### **Organisasie Eenhede** +### **Organisasie-eenhede** -Rekeninge kan gegroepeer word in **Organisasie Eenhede (OU)**. Op hierdie manier kan jy **beleide** vir die Organisasie Eenheid skep wat **op alle kinderekeninge toegepas gaan word**. Let daarop dat 'n OU ander OU's as kinders kan hê. +Rekeninge kan gegroepeer word in **Organisasie-eenhede (OU)**. Op hierdie manier kan jy **beleide** vir die Organisasie-eenheid skep wat **op al die kindrekeninge toegepas gaan word**. Let daarop dat 'n OU ander OUs as kinders kan hê. ```bash # You can get the root id from aws organizations list-roots aws organizations create-organizational-unit --parent-id r-lalala --name TestOU @@ -73,13 +73,13 @@ Vind **JSON voorbeelde** in [https://docs.aws.amazon.com/organizations/latest/us Dit is die ENIGE manier om te verseker dat **hulpbronne nie vooraf gedefinieerde toegangsvlakke kan oorskry**—selfs as 'n identiteit-gebaseerde of hulpbron-gebaseerde beleid te permissief is. Die enigste manier om hierdie beperkings te omseil, is om ook die RCP wat deur jou organisasie se bestuursrekening gekonfigureer is, te wysig. > [!WARNING] -> RCPs beperk slegs die toestemmings wat hulpbronne kan hê. Hulle beheer nie direk wat principals kan doen nie. Byvoorbeeld, as 'n RCP eksterne toegang tot 'n S3-bucket weier, verseker dit dat die bucket se toestemmings nooit aksies buite die gestelde limiet toelaat nie—selfs as 'n hulpbron-gebaseerde beleid verkeerd geconfigureer is. +> RCPs beperk slegs die toestemmings wat hulpbronne kan hê. Hulle beheer nie direk wat principals kan doen nie. Byvoorbeeld, as 'n RCP eksterne toegang tot 'n S3-bucket weier, verseker dit dat die bucket se toestemmings nooit aksies buite die gestelde limiet toelaat nie—selfs as 'n hulpbron-gebaseerde beleid verkeerd gekonfigureer is. RCP voorbeelde: -- Beperk S3-buckets sodat hulle slegs deur principals binne jou organisasie toegang kan hê +- Beperk S3-buckets sodat hulle slegs deur principals binne jou organisasie toegang kan kry - Beperk KMS sleutelgebruik om slegs operasies van vertroude organisatoriese rekeninge toe te laat -- Beperk toestemmings op SQS-rye om ongeoorloofde wysigings te voorkom +- Beperk toestemmings op SQS rye om ongeoorloofde wysigings te voorkom - Handhaaf toegang grense op Secrets Manager geheime om sensitiewe data te beskerm Vind voorbeelde in [AWS Organizations Resource Control Policies dokumentasie](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_rcps.html) @@ -91,12 +91,12 @@ Vind voorbeelde in [AWS Organizations Resource Control Policies dokumentasie](ht arn:partition:service:region:account-id:resource-type/resource-id arn:aws:elasticbeanstalk:us-west-1:123456789098:environment/App/Env ``` -Let wel dat daar 4 partities in AWS is, maar slegs 3 maniere om hulle te noem: +Let daarop dat daar 4 partities in AWS is, maar slegs 3 maniere om hulle te noem: - AWS Standard: `aws` - AWS China: `aws-cn` - AWS US publieke Internet (GovCloud): `aws-us-gov` -- AWS Secret (US Geclassifiseer): `aws` +- AWS Secret (US Classified): `aws` ## IAM - Identiteit en Toegangsbestuur @@ -106,13 +106,13 @@ IAM is die diens wat jou sal toelaat om **Verifikasie**, **Magtiging** en **Toeg - **Magtiging** - Bepaal wat 'n identiteit kan toegang tot binne 'n stelsel nadat dit geverifieer is. - **Toegangsbeheer** - Die metode en proses van hoe toegang tot 'n veilige hulpbron toegestaan word. -IAM kan gedefinieer word deur sy vermoë om verifikasie, magtiging en toegangsbeheer meganismes van identiteite na jou hulpbronne binne jou AWS-rekening te bestuur, te beheer en te regeer. +IAM kan gedefinieer word deur sy vermoë om verifikasie, magtiging en toegangsbeheer meganismes van identiteite tot jou hulpbronne binne jou AWS-rekening te bestuur, te beheer en te regeer. ### [AWS rekening wortel gebruiker](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html) Wanneer jy vir die eerste keer 'n Amazon Web Services (AWS) rekening skep, begin jy met 'n enkele aanmeld identiteit wat **volledige toegang tot alle** AWS dienste en hulpbronne in die rekening het. Dit is die AWS rekening _**wortel gebruiker**_ en word verkry deur in te teken met die **e-posadres en wagwoord wat jy gebruik het om die rekening te skep**. -Let wel dat 'n nuwe **admin gebruiker** **minder regte as die wortel gebruiker** sal hê. +Let daarop dat 'n nuwe **admin gebruiker** **minder regte as die wortel gebruiker** sal hê. Vanuit 'n sekuriteits oogpunt, word dit aanbeveel om ander gebruikers te skep en om hierdie een te vermy. @@ -120,9 +120,9 @@ Vanuit 'n sekuriteits oogpunt, word dit aanbeveel om ander gebruikers te skep en 'n IAM _gebruiker_ is 'n entiteit wat jy in AWS skep om **die persoon of toepassing** wat dit gebruik om **met AWS te kommunikeer** te **verteenwoordig**. 'n gebruiker in AWS bestaan uit 'n naam en geloofsbriewe (wagwoord en tot twee toegang sleutels). -Wanneer jy 'n IAM gebruiker skep, gee jy dit **regte** deur dit 'n **lid van 'n gebruikersgroep** te maak wat toepaslike toestemmingsbeleide het (aanbeveel), of deur **beleide direk aan die gebruiker te heg**. +Wanneer jy 'n IAM gebruiker skep, gee jy dit **regte** deur dit 'n **lid van 'n gebruikersgroep** te maak wat toepaslike regte beleid aanheg (aanbeveel), of deur **regte direk aan die gebruiker te heg**. -Gebruikers kan **MFA geaktiveer hê om in te teken** deur die konsole. API tokens van MFA geaktiveerde gebruikers is nie deur MFA beskerm nie. As jy die **toegang van 'n gebruiker se API sleutels met MFA wil beperk**, moet jy in die beleid aandui dat om sekere aksies uit te voer, MFA teenwoordig moet wees (voorbeeld [**hier**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). +Gebruikers kan **MFA geaktiveer hê om in te teken** deur die konsole. API tokens van MFA geaktiveerde gebruikers is nie deur MFA beskerm nie. As jy wil **die toegang van 'n gebruiker se API sleutels met MFA beperk**, moet jy in die beleid aandui dat om sekere aksies uit te voer, MFA teenwoordig moet wees (voorbeeld [**hier**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). #### CLI @@ -135,7 +135,7 @@ _Skep 'n nuwe toegang sleutel -> Pas die nuwe sleutel toe op stelsel/toepassing ### MFA - Multi-Faktor Verifikasie Dit word gebruik om 'n **addisionele faktor vir verifikasie** te skep benewens jou bestaande metodes, soos wagwoord, en skep dus 'n multi-faktor vlak van verifikasie.\ -Jy kan 'n **gratis virtuele toepassing of 'n fisiese toestel** gebruik. Jy kan toepassings soos google verifikasie gratis gebruik om 'n MFA in AWS te aktiveer. +Jy kan 'n **gratis virtuele toepassing of 'n fisiese toestel** gebruik. Jy kan toepassings soos google authentication gratis gebruik om 'n MFA in AWS te aktiveer. Beleide met MFA voorwaardes kan aan die volgende geheg word: @@ -143,8 +143,8 @@ Beleide met MFA voorwaardes kan aan die volgende geheg word: - 'n hulpbron soos 'n Amazon S3 emmer, Amazon SQS tou, of Amazon SNS onderwerp - Die vertrouensbeleid van 'n IAM rol wat deur 'n gebruiker aanvaar kan word -As jy 'n hulpbron wat **MFA nagaan** via CLI wil **toegang**, moet jy **`GetSessionToken`** aanroep. Dit sal jou 'n token gee met inligting oor MFA.\ -Let wel dat **`AssumeRole` geloofsbriewe nie hierdie inligting bevat nie**. +As jy 'n hulpbron wil **toegang via CLI** wat **MFA nagaan**, moet jy **`GetSessionToken`** aanroep. Dit sal vir jou 'n token gee met inligting oor MFA.\ +Let daarop dat **`AssumeRole` geloofsbriewe nie hierdie inligting bevat nie**. ```bash aws sts get-session-token --serial-number --token-code ``` @@ -152,7 +152,7 @@ As [**hier genoem**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credent ### [IAM gebruikersgroepe](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) -'n IAM [gebruikersgroep](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) is 'n manier om **beleide aan verskeie gebruikers** op een slag te **koppel**, wat dit makliker kan maak om die toestemmings vir daardie gebruikers te bestuur. **Rol en groepe kan nie deel wees van 'n groep** nie. +'n IAM [gebruikersgroep](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) is 'n manier om **beleide aan verskeie gebruikers** op een slag te koppel, wat dit makliker kan maak om die toestemmings vir daardie gebruikers te bestuur. **Rol en groepe kan nie deel wees van 'n groep** nie. Jy kan 'n **identiteitsgebaseerde beleid aan 'n gebruikersgroep** koppel sodat al die **gebruikers** in die gebruikersgroep **die beleid se toestemmings ontvang**. Jy **kan nie** 'n **gebruikersgroep** as 'n **`Principal`** in 'n **beleid** identifiseer (soos 'n hulpbron-gebaseerde beleid) nie, omdat groepe met toestemmings verband hou, nie verifikasie nie, en principals is geverifieerde IAM entiteite. @@ -165,9 +165,9 @@ Hier is 'n paar belangrike eienskappe van gebruikersgroepe: ### [IAM rolle](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) -'n IAM **rol** is baie **soortgelyk** aan 'n **gebruiker**, in die sin dat dit 'n **identiteit met toestemmingbeleide is wat bepaal wat** dit kan en nie kan doen in AWS nie. egter, 'n rol **het nie enige geloofsbriewe** (wagwoord of toegang sleutels) wat daarmee geassosieer is nie. In plaas daarvan om uniek aan een persoon geassosieer te wees, is 'n rol bedoel om **aangenome te word deur enigeen wat dit nodig het (en genoeg perms het)**. 'n **IAM gebruiker kan 'n rol aanvaar om tydelik** verskillende toestemmings vir 'n spesifieke taak aan te neem. 'n rol kan **toegeken word aan 'n** [**federated gebruiker**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) wat aanmeld deur 'n eksterne identiteitsverskaffer te gebruik in plaas van IAM. +'n IAM **rol** is baie **soortgelyk** aan 'n **gebruiker**, in die sin dat dit 'n **identiteit met toestemmingbeleide is wat bepaal wat** dit kan en nie kan doen in AWS nie. egter, 'n rol **het nie enige geloofsbriewe** (wagwoord of toegang sleutels) wat daarmee geassosieer is nie. In plaas daarvan om uniek aan een persoon geassosieer te wees, is 'n rol bedoel om **aangenome te word deur enigiemand wat dit nodig het (en genoeg perms het)**. 'n **IAM gebruiker kan 'n rol aanvaar om tydelik** verskillende toestemmings vir 'n spesifieke taak aan te neem. 'n rol kan **toegeken word aan 'n** [**gefedereerde gebruiker**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) wat aanmeld deur 'n eksterne identiteitsverskaffer te gebruik in plaas van IAM. -'n IAM rol bestaan uit **twee tipes beleide**: 'n **vertrouensbeleid**, wat nie leeg kan wees nie, wat **definieer wie die rol kan aanvaar**, en 'n **toestemmingsbeleid**, wat nie leeg kan wees nie, wat **definieer wat dit kan toegang**. +'n IAM rol bestaan uit **twee tipes beleide**: 'n **vertrouensbeleid**, wat nie leeg kan wees nie, wat definieer **wie die rol kan aanvaar**, en 'n **toestemmingsbeleid**, wat nie leeg kan wees nie, wat definieer **wat dit kan toegang**. #### AWS Veiligheidstoken Diens (STS) @@ -175,7 +175,7 @@ AWS Veiligheidstoken Diens (STS) is 'n webdiens wat die **uitreiking van tydelik ### [Tydelike geloofsbriewe in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) -**Tydelike geloofsbriewe word hoofsaaklik gebruik met IAM rolle**, maar daar is ook ander gebruike. Jy kan tydelike geloofsbriewe aan vra wat 'n meer beperkte stel toestemmings het as jou standaard IAM gebruiker. Dit **verhoed** jou om **per ongeluk take uit te voer wat nie toegelaat word** deur die meer beperkte geloofsbriewe nie. 'n voordeel van tydelike geloofsbriewe is dat hulle outomaties verval na 'n bepaalde tydperk. Jy het beheer oor die duur dat die geloofsbriewe geldig is. +**Tydelike geloofsbriewe word hoofsaaklik gebruik met IAM rolle**, maar daar is ook ander gebruike. Jy kan tydelike geloofsbriewe aan vra wat 'n meer beperkte stel toestemmings het as jou standaard IAM gebruiker. Dit **voorkom** dat jy **per ongeluk take uitvoer wat nie toegelaat word** deur die meer beperkte geloofsbriewe nie. 'n voordeel van tydelike geloofsbriewe is dat hulle outomaties verval na 'n bepaalde tydperk. Jy het beheer oor die duur dat die geloofsbriewe geldig is. ### Beleide @@ -184,10 +184,10 @@ AWS Veiligheidstoken Diens (STS) is 'n webdiens wat die **uitreiking van tydelik Word gebruik om toestemmings toe te ken. Daar is 2 tipes: - AWS bestuurde beleide (vooraf geconfigureer deur AWS) -- Klantbestuurde Beleide: Geconfigureer deur jou. Jy kan beleide skep gebaseer op AWS bestuurde beleide (een van hulle aanpas en jou eie skep), deur die beleidsgenerator te gebruik (n GUI-uitsig wat jou help om toestemmings toe te ken en te weier) of jou eie te skryf. +- Klant bestuurde beleide: Geconfigureer deur jou. Jy kan beleide skep gebaseer op AWS bestuurde beleide (een van hulle wysig en jou eie skep), deur die beleidsgenerator te gebruik (n GUI-uitsig wat jou help om toestemmings toe te ken en te weier) of jou eie te skryf. Deur **standaard toegang** is **weggeneem**, toegang sal toegestaan word as 'n eksplisiete rol gespesifiseer is.\ -As **enige "Deny" bestaan, sal dit die "Allow" oorskry**, behalwe vir versoeke wat die AWS rekening se wortel sekuriteitsgeloofsbriewe gebruik (wat standaard toegelaat word). +As **enkele "Deny" bestaan, sal dit die "Allow" oorskry**, behalwe vir versoeke wat die AWS-rekening se wortelveiligheidsgeloofsbriewe gebruik (wat standaard toegelaat word). ```javascript { "Version": "2012-10-17", //Version of the policy @@ -215,8 +215,8 @@ Die [spesifieke velde wat gebruik kan word vir voorwaardes per diens is hier ged #### Inline Beleide -Hierdie tipe beleide is **direk toegeken** aan 'n gebruiker, groep of rol. Dan verskyn hulle nie in die Beleide lys nie soos enige ander een kan hulle gebruik.\ -Inline beleide is nuttig as jy wil **'n streng een-tot-een verhouding tussen 'n beleid en die identiteit** wat dit toegepas word, handhaaf. Byvoorbeeld, jy wil seker maak dat die toestemmings in 'n beleid nie per ongeluk aan 'n identiteit anders as die een waarvoor hulle bedoel is, toegeken word nie. Wanneer jy 'n inline beleid gebruik, kan die toestemmings in die beleid nie per ongeluk aan die verkeerde identiteit geheg word nie. Daarbenewens, wanneer jy die AWS Management Console gebruik om daardie identiteit te verwyder, word die beleide wat in die identiteit ingebed is, ook verwyder. Dit is omdat hulle deel van die hoof entiteit is. +Hierdie tipe beleide is **direk toegeken** aan 'n gebruiker, groep of rol. Dan verskyn hulle nie in die Beleide lys nie, aangesien enige ander dit kan gebruik.\ +Inline beleide is nuttig as jy wil **'n streng een-tot-een verhouding tussen 'n beleid en die identiteit** wat dit toegepas word, handhaaf. Byvoorbeeld, jy wil seker maak dat die toestemmings in 'n beleid nie per ongeluk aan 'n identiteit anders as die een waarvoor dit bedoel is, toegeken word nie. Wanneer jy 'n inline beleid gebruik, kan die toestemmings in die beleid nie per ongeluk aan die verkeerde identiteit geheg word nie. Boonop, wanneer jy die AWS Management Console gebruik om daardie identiteit te verwyder, word die beleide wat in die identiteit ingebed is, ook verwyder. Dit is omdat hulle deel is van die hoof entiteit. #### Hulpbron Emmer Beleide @@ -230,7 +230,7 @@ IAM grense kan gebruik word om **die toestemmings wat 'n gebruiker of rol toegan 'n Grens is net 'n beleid wat aan 'n gebruiker geheg is wat **die maksimum vlak van toestemmings wat die gebruiker of rol kan hê, aandui**. So, **selfs al het die gebruiker Administrateur toegang**, as die grens aandui dat hy net S· emmers kan lees, is dit die maksimum wat hy kan doen. -**Dit**, **SCPs** en **die minste voorreg** beginsel is die maniere om te beheer dat gebruikers nie meer toestemmings het as wat hulle nodig het nie. +**Dit**, **SCPs** en **die beginsel van die minste voorreg** is die maniere om te beheer dat gebruikers nie meer toestemmings het as wat hulle nodig het nie. ### Sessie Beleide @@ -244,7 +244,7 @@ aws sts assume-role \ [--policy-arns ] [--policy ] ``` -Let wel, standaard **kan AWS sessiebeleide aan sessies toevoeg** wat gegenereer gaan word weens derde redes. Byvoorbeeld, in [nie-geoutentiseerde cognito aangeneemde rolle](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) sal AWS standaard (met verbeterde verifikasie) **sessie-akkrediteer met 'n sessiebeleid** genereer wat die dienste wat die sessie kan toegang hê, beperk [**tot die volgende lys**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). +Let wel dat **AWS dalk sessiebeleide aan sessies kan voeg** wat gegenereer gaan word weens derde redes. Byvoorbeeld, in [ongemagtigde cognito aangeneemde rolle](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) sal AWS standaard (met verbeterde verifikasie) **sessie-akkrediteer met 'n sessiebeleid** genereer wat die dienste wat die sessie kan toegang hê, beperk [**tot die volgende lys**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). As jy dus op 'n stadium die fout "… omdat geen sessiebeleid dit toelaat nie …" teëkom, en die rol toegang het om die aksie uit te voer, is dit omdat **daar 'n sessiebeleid is wat dit verhinder**. @@ -253,9 +253,9 @@ As jy dus op 'n stadium die fout "… omdat geen sessiebeleid dit toelaat nie Identiteitsfederasie **laat gebruikers van identiteitsverskaffers wat eksterne** tot AWS is, toe om AWS-hulpbronne veilig te benader sonder om AWS-gebruikersakkrediteer van 'n geldige IAM-gebruikersrekening te verskaf.\ 'n Voorbeeld van 'n identiteitsverskaffer kan jou eie korporatiewe **Microsoft Active Directory** (via **SAML**) of **OpenID** dienste (soos **Google**) wees. Gefedereerde toegang sal dan die gebruikers binne dit toelaat om AWS te benader. -Om hierdie vertroue te konfigureer, word 'n **IAM Identiteitsverskaffer gegenereer (SAML of OAuth)** wat die **ander platform** sal **vertrou**. Dan, ten minste een **IAM rol word toegeken (wat vertrou) aan die Identiteitsverskaffer**. As 'n gebruiker van die vertroude platform AWS benader, sal hy as die genoemde rol toegang hê. +Om hierdie vertroue te konfigureer, word 'n **IAM Identiteitsverskaffer gegenereer (SAML of OAuth)** wat die **ander platform** sal **vertrou**. Dan word ten minste een **IAM rol (wat vertrou) aan die Identiteitsverskaffer toegeken**. As 'n gebruiker van die vertroude platform AWS benader, sal hy as die genoemde rol toegang hê. -Jy sal egter gewoonlik 'n **verskillende rol wil gee, afhangende van die groep van die gebruiker** in die derdeparty-platform. Dan kan verskeie **IAM rolle vertrou** die derdeparty Identiteitsverskaffer en die derdeparty-platform sal die een wees wat gebruikers toelaat om een rol of die ander aan te neem. +Jy sal egter gewoonlik 'n **verskillende rol wil gee, afhangende van die groep van die gebruiker** in die derdepartyplatform. Dan kan verskeie **IAM rolle vertrou** die derdeparty Identiteitsverskaffer en die derdepartyplatform sal die een wees wat gebruikers toelaat om een rol of die ander aan te neem.
@@ -263,12 +263,12 @@ Jy sal egter gewoonlik 'n **verskillende rol wil gee, afhangende van die groep v AWS IAM Identiteitsentrum (opvolger van AWS Enkelteken) brei die vermoëns van AWS Identiteits- en Toegangsbestuur (IAM) uit om 'n **sentraal plek** te bied wat die **administrasie van gebruikers en hul toegang tot AWS** rekeninge en wolktoepassings saambring. -Die aanmeld domein gaan iets soos `.awsapps.com` wees. +Die aanmelddomein gaan iets soos `.awsapps.com` wees. Om gebruikers aan te meld, is daar 3 identiteitsbronne wat gebruik kan word: - Identiteitsentrum Gids: Gereelde AWS gebruikers -- Aktiewe Gids: Ondersteun verskillende konnektore +- Aktiewe Gids: Ondersteun verskillende koppelvlakke - Eksterne Identiteitsverskaffer: Alle gebruikers en groepe kom van 'n eksterne Identiteitsverskaffer (IdP)
@@ -279,25 +279,25 @@ Om toegang te gee aan 'n Identiteitsentrum gebruiker/groep tot 'n rekening, sal #### AwsSSOInlinePolicy -Dit is moontlik om **toestemmings via inline beleide aan rolle wat via IAM Identiteitsentrum geskep is, te gee**. Die rolle wat in die rekeninge geskep word, wat **inline beleide in AWS Identiteitsentrum** ontvang, sal hierdie toestemmings in 'n inline beleid genaamd **`AwsSSOInlinePolicy`** hê. +Dit is moontlik om **toestemmings via inline beleide aan rolle wat via IAM Identiteitsentrum geskep is, te gee**. Die rolle wat in die rekeninge geskep word wat **inline beleide in AWS Identiteitsentrum** ontvang, sal hierdie toestemmings in 'n inline beleid genaamd **`AwsSSOInlinePolicy`** hê. Daarom, selfs al sien jy 2 rolle met 'n inline beleid genaamd **`AwsSSOInlinePolicy`**, beteken dit **nie dat dit dieselfde toestemmings het nie**. ### Kruisrekening Vertroue en Rolle **'n gebruiker** (wat vertrou) kan 'n Kruisrekening Rol met sommige beleide skep en dan, **'n ander gebruiker** (vertrou) toelaat om **sy rekening te benader** maar net **met die toegang wat in die nuwe rolbeleide aangedui is**. Om dit te skep, skep eenvoudig 'n nuwe Rol en kies Kruisrekening Rol. Rolle vir Kruisrekening Toegang bied twee opsies. Om toegang te bied tussen AWS rekeninge wat jy besit, en om toegang te bied tussen 'n rekening wat jy besit en 'n derdeparty AWS rekening.\ -Dit word aanbeveel om **die gebruiker wat vertrou is spesifiek aan te dui en nie 'n generiese ding te plaas nie**, want anders kan ander geoutentiseerde gebruikers soos gefedereerde gebruikers ook hierdie vertroue misbruik. +Dit word aanbeveel om **die gebruiker wat vertrou is spesifiek aan te dui en nie 'n generiese ding te plaas nie**, want anders kan ander geverifieerde gebruikers soos gefedereerde gebruikers ook hierdie vertroue misbruik. ### AWS Eenvoudige AD Nie ondersteun nie: -- Vertrou Verhoudings -- AD Admin Sentrum +- Vertrouensverhoudings +- AD Administrasiesentrum - Volledige PS API ondersteuning - AD Herwinningsblik -- Groep Gemanagte Diens Rekeninge -- Skema Uitbreidings +- Groep Gemanagte Diensrekeninge +- Skema-uitbreidings - Geen Direkte toegang tot OS of Instansies nie #### Web Federasie of OpenID Verifikasie @@ -307,29 +307,29 @@ Die toepassing gebruik die AssumeRoleWithWebIdentity om tydelike akkrediteer te ### Ander IAM opsies - Jy kan **'n wagwoordbeleid instelling** opsies soos minimum lengte en wagwoordvereistes stel. -- Jy kan **"Akkredietverslag" aflaai** met inligting oor huidige akkrediteer (soos gebruikers skep tyd, is wagwoord geaktiveer ...). Jy kan 'n akkredietverslag genereer so dikwels as een keer elke **vier uur**. +- Jy kan **"Akkredietverslag" aflaai** met inligting oor huidige akkrediteer (soos gebruikers skeppingstyd, is wagwoord geaktiveer...). Jy kan 'n akkredietverslag genereer so dikwels as een keer elke **vier uur**. -AWS Identiteits- en Toegangsbestuur (IAM) bied **fyn-granulêre toegangbeheer** oor al die AWS. Met IAM kan jy spesifiseer **wie toegang kan hê tot watter dienste en hulpbronne**, en onder watter omstandighede. Met IAM beleide bestuur jy toestemmings aan jou werksmag en stelsels om **minst-bevoegdheidstoestemmings** te verseker. +AWS Identiteits- en Toegangsbestuur (IAM) bied **fyn-graad toegangbeheer** oor al die AWS. Met IAM kan jy spesifiseer **wie toegang kan hê tot watter dienste en hulpbronne**, en onder watter omstandighede. Met IAM beleide bestuur jy toestemmings aan jou werksmag en stelsels om **minst-bevoegde toestemmings** te verseker. ### IAM ID Vooraf In [**hierdie bladsy**](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_identifiers.html#identifiers-unique-ids) kan jy die **IAM ID vooraf** van sleutels vind, afhangende van hul aard: -| Identifier Code | Beskrywing | +| Identifiseerderkode | Beskrywing | | --------------- | ----------------------------------------------------------------------------------------------------------- | | ABIA | [AWS STS diens draer token](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_bearer.html) | | ACCA | Konteks-spesifieke akkrediet | | AGPA | Gebruikersgroep | | AIDA | IAM gebruiker | -| AIPA | Amazon EC2 instansie profiel | -| AKIA | Toegang sleutel | +| AIPA | Amazon EC2 instansieprofiel | +| AKIA | Toegangssleutel | | ANPA | Gemanagte beleid | | ANVA | Weergawe in 'n gemanagte beleid | | APKA | Publieke sleutel | | AROA | Rol | | ASCA | Sertifikaat | -| ASIA | [Tydelike (AWS STS) toegang sleutel ID's](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) gebruik hierdie vooraf, maar is uniek slegs in kombinasie met die geheime toegang sleutel en die sessietoken. | +| ASIA | [Tydelike (AWS STS) toegangssleutel ID's](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) gebruik hierdie vooraf, maar is uniek slegs in kombinasie met die geheime toegangssleutel en die sessietoken. | ### Aanbevole toestemmings om rekeninge te oudit @@ -348,7 +348,7 @@ Die volgende voorregte bied verskeie lees toegang van metadata: ### CLI Verifikasie -Om 'n gereelde gebruiker te laat verifieer by AWS via CLI, moet jy **lokale akkrediteer** hê. Standaard kan jy dit **handmatig** in `~/.aws/credentials` of deur **te loop** `aws configure` konfigureer.\ +Om 'n gereelde gebruiker te laat verifieer by AWS via CLI, moet jy **lokale akkrediteer** hê. Standaard kan jy dit **handmatig** in `~/.aws/credentials` konfigureer of deur **te loop** `aws configure`.\ In daardie lêer kan jy meer as een profiel hê, as **geen profiel** gespesifiseer word met die **aws cli**, sal die een genaamd **`[default]`** in daardie lêer gebruik word.\ Voorbeeld van akkrediteer lêer met meer as 1 profiel: ``` diff --git a/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md b/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md index c1fe9c746..68d712017 100644 --- a/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md +++ b/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md @@ -12,7 +12,7 @@ Vir meer inligting, toegang: ### CDK Bootstrap Stap -Die AWS CDK ontplooi 'n CFN stap genoem `CDKToolkit`. Hierdie stap ondersteun 'n parameter `TrustedAccounts` wat eksterne rekeninge toelaat om CDK projekte in die slagoffer rekening te ontplooi. 'n Aanvaller kan dit misbruik om hulself onbepaalde toegang tot die slagoffer rekening te verleen, hetsy deur die AWS cli te gebruik om die stap met parameters weer te ontplooi, of die AWS CDK cli. +Die AWS CDK ontplooi 'n CFN-stap genoem `CDKToolkit`. Hierdie stap ondersteun 'n parameter `TrustedAccounts` wat eksterne rekeninge toelaat om CDK-projekte in die slagofferrekening te ontplooi. 'n Aanvaller kan dit misbruik om hulself onbepaalde toegang tot die slagofferrekening te verleen, hetsy deur die AWS cli te gebruik om die stap met parameters te herontplooi, of die AWS CDK cli. ```bash # CDK cdk bootstrap --trust 1234567890 diff --git a/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md b/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md index 0a42ae9a6..0eb84d280 100644 --- a/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md +++ b/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md @@ -18,7 +18,7 @@ Standaard sal hierdie toegang hê om na 'n cloudwatch loggroep te skryf (die naa ### Steel Ander se Lambda URL Versoeke -As 'n aanvaller op een of ander manier RCE binne 'n Lambda kan kry, sal hy in staat wees om ander gebruikers se HTTP versoeke na die lambda te steel. As die versoeke sensitiewe inligting bevat (koekies, kredensiale...) sal hy in staat wees om dit te steel. +As 'n aanvaller op een of ander manier RCE binne 'n Lambda kan kry, sal hy in staat wees om ander gebruikers se HTTP versoeke na die lambda te steel. As die versoeke sensitiewe inligting bevat (koekies, kredensiale...), sal hy in staat wees om dit te steel. {{#ref}} aws-warm-lambda-persistence.md diff --git a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md index 6d15367fe..3c22b73c1 100644 --- a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md +++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md @@ -53,7 +53,7 @@ Die `cloudformation:SetStackPolicy` toestemming kan gebruik word om **jouself `U 'n Aanvaller met toestemmings om **'n rol oor te dra en 'n ChangeSet te skep & uit te voer** kan **'n nuwe cloudformation stapel skep/opdateer en die cloudformation diensrolle** misbruik net soos met die CreateStack of UpdateStack. -Die volgende uitbuiting is 'n **variasie van die**[ **CreateStack een**](#iam-passrole-cloudformation-createstack) wat die **ChangeSet toestemmings** gebruik om 'n stapel te skep. +Die volgende uitbuiting is 'n **variatie van die**[ **CreateStack een**](#iam-passrole-cloudformation-createstack) wat die **ChangeSet toestemmings** gebruik om 'n stapel te skep. ```bash aws cloudformation create-change-set \ --stack-name privesc \ @@ -79,7 +79,7 @@ aws cloudformation describe-stacks \ --stack-name privesc \ --region eu-west-1 ``` -Die `cloudformation:SetStackPolicy` toestemming kan gebruik word om **vir jouself `ChangeSet` toestemmings** oor 'n stap te gee en die aanval uit te voer. +Die `cloudformation:SetStackPolicy` toestemming kan gebruik word om **jouself `ChangeSet` toestemmings** oor 'n stap te gee en die aanval uit te voer. **Potensiële Impak:** Privesc na cloudformation diensrolle. @@ -117,7 +117,7 @@ As jy `cloudformation:DescribeStacks` het, is die rolle gedefinieer in 'n stap w As jy op 'n masjien is wat gebruik is om CDK projekte te bou en te ontplooi, kan jy dit uit `cdk.out/manafest.json` in die projek se wortelgids trek. -Jy kan ook 'n goeie raai maak oor wat hulle is. `qualifier` is 'n string wat by die rolle gevoeg word wat toelaat dat verskeie instansies van die CDK bootstrap gelyktydig ontplooi kan word, maar die standaardwaarde is hard-gecodeer na `hnb659fds`. +Jy kan ook 'n goeie raaiskoot maak oor wat hulle is. `qualifier` is 'n string wat by die rolle gevoeg word wat toelaat dat verskeie instansies van die CDK bootstrap gelyktydig ontplooi kan word, maar die standaardwaarde is hard-gecodeer na `hnb659fds`. ``` # Defaults cdk-hnb659fds-cfn-exec-role-- @@ -128,7 +128,7 @@ cdk-hnb659fds-lookup-role-- ``` ### Voeg kwaadwillige kode by die projekbron -As jy na die projekbron kan skryf, maar dit nie self kan ontplooi nie (byvoorbeeld, die ontwikkelaar ontplooi die kode via CI/CD, nie die plaaslike masjien nie), kan jy steeds die omgewing kompromenteer deur kwaadwillige hulpbronne aan die stapel toe te voeg. Die volgende voeg 'n IAM-rol by wat deur 'n aanvallerrekening aanvaar kan word aan 'n python CDK projek. +As jy na die projekbron kan skryf, maar dit nie self kan ontplooi nie (byvoorbeeld, die ontwikkelaar ontplooi die kode via CI/CD, nie die plaaslike masjien nie), kan jy steeds die omgewing kompromenteer deur kwaadwillige hulpbronne aan die stapel toe te voeg. Die volgende voeg 'n IAM-rol by wat deur 'n aanvallerrekening aanvaar kan word aan 'n python CDK-projek. ```python class CdkTestStack(Stack): def __init__(self, scope: Construct, construct_id: str, **kwargs) -> None: diff --git a/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md b/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md index 3dbca021b..292ed877d 100644 --- a/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md +++ b/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md @@ -4,7 +4,7 @@ ## CloudFormation -AWS CloudFormation is 'n diens wat ontwerp is om die **bestuur van AWS hulpbronne te vereenvoudig**. Dit stel gebruikers in staat om meer op hul toepassings wat in AWS loop te fokus deur **die tyd wat aan hulpbronbestuur bestee word te minimaliseer**. Die kernkenmerk van hierdie diens is die **sjabloon**—'n beskrywende model van die gewenste AWS hulpbronne. Sodra hierdie sjabloon verskaf is, is CloudFormation verantwoordelik vir die **verskaffing en konfigurasie** van die gespesifiseerde hulpbronne. Hierdie outomatisering fasiliteer 'n meer doeltreffende en foutvrye bestuur van AWS infrastruktuur. +AWS CloudFormation is 'n diens wat ontwerp is om die **bestuur van AWS hulpbronne te vereenvoudig**. Dit stel gebruikers in staat om meer op hul toepassings wat in AWS loop te fokus deur **die tyd wat aan hulpbronbestuur bestee word te minimaliseer**. Die kernkenmerk van hierdie diens is die **sjabloon**—'n beskrywende model van die verlangde AWS hulpbronne. Sodra hierdie sjabloon verskaf is, is CloudFormation verantwoordelik vir die **verskaffing en konfigurasie** van die gespesifiseerde hulpbronne. Hierdie outomatisering fasiliteer 'n meer doeltreffende en foutvrye bestuur van AWS infrastruktuur. ### Enumeration ```bash @@ -45,11 +45,11 @@ In die volgende bladsy kan jy kyk hoe om **cloudformation-toestemmings te misbru ### Post-Exploitation -Kyk vir **geheime** of sensitiewe inligting in die **sjabloon, parameters & uitvoer** van elke CloudFormation +Kyk vir **secrets** of sensitiewe inligting in die **template, parameters & output** van elke CloudFormation ## Codestar -AWS CodeStar is 'n diens vir die skep, bestuur en werk met sagteware-ontwikkelingsprojekte op AWS. Jy kan vinnig toepassings ontwikkel, bou en ontplooi op AWS met 'n AWS CodeStar-projek. 'n AWS CodeStar-projek skep en **integreer AWS-dienste** vir jou projekontwikkelingshulpmiddelketting. Afhangende van jou keuse van AWS CodeStar-projeksjabloon, kan daardie hulpmiddelketting bronbeheer, bou, ontplooi, virtuele bedieners of serverlose hulpbronne, en meer insluit. AWS CodeStar **bestuur ook die toestemmings wat benodig word vir projekgebruikers** (genoem spanlede). +AWS CodeStar is 'n diens vir die skep, bestuur en werk met sagteware-ontwikkelingsprojekte op AWS. Jy kan vinnig toepassings ontwikkel, bou en ontplooi op AWS met 'n AWS CodeStar-projek. 'n AWS CodeStar-projek skep en **integreer AWS-dienste** vir jou projekontwikkelingshulpmiddelketting. Afhangende van jou keuse van AWS CodeStar-projektemplate, kan daardie hulpmiddelketting bronbeheer, bou, ontplooi, virtuele bedieners of serverless hulpbronne, en meer insluit. AWS CodeStar **bestuur ook die toestemmings wat vir projekgebruikers** (genoem spanlede) benodig word. ### Enumeration ```bash