diff --git a/src/pentesting-cloud/aws-security/aws-basic-information/README.md b/src/pentesting-cloud/aws-security/aws-basic-information/README.md index 620f5d589..b71206803 100644 --- a/src/pentesting-cloud/aws-security/aws-basic-information/README.md +++ b/src/pentesting-cloud/aws-security/aws-basic-information/README.md @@ -8,9 +8,9 @@ ### Akaunti -Katika AWS, kuna **akaunti ya mzizi**, ambayo ni **konteina mama kwa akaunti zote** za **shirika** lako. Hata hivyo, huwezi kutumia akaunti hiyo kupeleka rasilimali, unaweza kuunda **akaunti nyingine ili kutenganisha miundombinu tofauti za AWS** kati yao. +Katika AWS, kuna **akaunti ya mzizi**, ambayo ni **chombo mama kwa akaunti zote** za **shirika lako**. Hata hivyo, huwezi kutumia akaunti hiyo kupeleka rasilimali, unaweza kuunda **akaunti nyingine ili kutenganisha miundombinu tofauti za AWS** kati yao. -Hii ni ya kuvutia kutoka kwa mtazamo wa **usalama**, kwani **akaunti moja haitakuwa na uwezo wa kufikia rasilimali kutoka akaunti nyingine** (isipokuwa madaraja yameundwa mahsusi), hivyo kwa njia hii unaweza kuunda mipaka kati ya upelekwaji. +Hii ni ya kuvutia kutoka kwa mtazamo wa **usalama**, kwani **akaunti moja haitakuwa na uwezo wa kufikia rasilimali kutoka akaunti nyingine** (isipokuwa madaraja yameundwa mahsusi), hivyo kwa njia hii unaweza kuunda mipaka kati ya uanzishaji. Kwa hivyo, kuna **aina mbili za akaunti katika shirika** (tunazungumzia kuhusu akaunti za AWS na si Akaunti za Mtumiaji): akaunti moja ambayo imewekwa kama akaunti ya usimamizi, na akaunti moja au zaidi za wanachama. @@ -18,22 +18,22 @@ Kwa hivyo, kuna **aina mbili za akaunti katika shirika** (tunazungumzia kuhusu a - Kuunda akaunti katika shirika - Kualika akaunti nyingine zilizopo katika shirika -- Kuondoa akaunti kutoka kwa shirika +- Kuondoa akaunti kutoka shirika - Kudhibiti mialiko -- Kutumia sera kwa entiti (mizizi, OUs, au akaunti) ndani ya shirika -- Kuwezesha uunganisho na huduma za AWS zinazoungwa mkono ili kutoa kazi za huduma katika akaunti zote za shirika. +- Kutumia sera kwa vitu (mizizi, OUs, au akaunti) ndani ya shirika +- Kuwezesha ujumuishaji na huduma za AWS zinazoungwa mkono ili kutoa kazi za huduma katika akaunti zote za shirika. - Inawezekana kuingia kama mtumiaji mzizi kwa kutumia barua pepe na nenosiri vilivyotumika kuunda akaunti hii ya mzizi/shirika. Akaunti ya usimamizi ina **majukumu ya akaunti ya malipo** na inawajibika kulipa ada zote zinazokusanywa na akaunti za wanachama. Huwezi kubadilisha akaunti ya usimamizi ya shirika. -- **Akaunti za wanachama** zinaunda akaunti zote nyingine katika shirika. Akaunti inaweza kuwa mwanachama wa shirika moja tu kwa wakati mmoja. Unaweza kuambatisha sera kwa akaunti ili kutekeleza udhibiti kwa akaunti hiyo pekee. +- **Akaunti za wanachama** zinaunda akaunti zote nyingine katika shirika. Akaunti inaweza kuwa mwanachama wa shirika moja tu kwa wakati mmoja. Unaweza kuambatisha sera kwa akaunti ili kuweka udhibiti kwa akaunti hiyo pekee. - Akaunti za wanachama **zinapaswa kutumia anwani halali ya barua pepe** na zinaweza kuwa na **jina**, kwa ujumla hawawezi kudhibiti bili (lakini wanaweza kupewa ufikiaji wa hiyo). ``` aws organizations create-account --account-name testingaccount --email testingaccount@lalala1233fr.com ``` ### **Vitengo vya Shirika** -Accounts zinaweza kuunganishwa katika **Vitengo vya Shirika (OU)**. Kwa njia hii, unaweza kuunda **sera** za Vitengo vya Shirika ambazo zita **wekwa kwenye akaunti zote za watoto**. Kumbuka kwamba OU inaweza kuwa na OUs zingine kama watoto. +Accounts zinaweza kuunganishwa katika **Vitengo vya Shirika (OU)**. Kwa njia hii, unaweza kuunda **sera** za Vitengo vya Shirika ambazo zitakuwa **zinatumika kwa akaunti zote za watoto**. Kumbuka kwamba OU inaweza kuwa na OUs zingine kama watoto. ```bash # You can get the root id from aws organizations list-roots aws organizations create-organizational-unit --parent-id r-lalala --name TestOU @@ -42,13 +42,13 @@ aws organizations create-organizational-unit --parent-id r-lalala --name TestOU A **service control policy (SCP)** ni sera inayobainisha huduma na vitendo ambavyo watumiaji na majukumu wanaweza kutumia katika akaunti ambazo SCP inahusisha. SCPs ni **sawa na sera za ruhusa za IAM** isipokuwa hazitoi **ruhusa yoyote**. Badala yake, SCPs zinaelezea **ruhusa za juu zaidi** kwa shirika, kitengo cha shirika (OU), au akaunti. Unapounganisha SCP kwa mzizi wa shirika lako au OU, **SCP inakandamiza ruhusa za viumbe katika akaunti za wanachama**. -Hii ndiyo NJIA PEKEE ambayo **hata mtumiaji wa mzizi anaweza kuzuiliwa** kufanya kitu. Kwa mfano, inaweza kutumika kuzuia watumiaji wasizime CloudTrail au kufuta nakala za akiba.\ -Njia pekee ya kupita hii ni kuathiri pia **akaunti ya mkuu** inayoweka SCPs (akaunti ya mkuu haiwezi kuzuiliwa). +Hii ndiyo NJIA PEKEE ambayo **hata mtumiaji wa mzizi anaweza kuzuiwa** kufanya jambo fulani. Kwa mfano, inaweza kutumika kuzuia watumiaji wasizime CloudTrail au kufuta nakala za akiba.\ +Njia pekee ya kupita hii ni kuathiri pia **akaunti ya mkuu** inayoweka SCPs (akaunti ya mkuu haiwezi kuzuiwa). > [!WARNING] > Kumbuka kwamba **SCPs zinakandamiza tu wakuu katika akaunti**, hivyo akaunti nyingine hazihusiki. Hii inamaanisha kuwa kuwa na SCP inayokataza `s3:GetObject` haitazuia watu **kupata akiba ya S3 ya umma** katika akaunti yako. -SCP mifano: +Mifano ya SCP: - Kataza akaunti ya mzizi kabisa - Ruhusu tu maeneo maalum @@ -57,7 +57,7 @@ SCP mifano: kuondolewa -- Kataza majukumu ya usalama/jibu la tukio kuondolewa au +- Kataza majukumu ya usalama/mjibu wa tukio kuondolewa au kubadilishwa. @@ -68,17 +68,17 @@ Pata **mifano ya JSON** katika [https://docs.aws.amazon.com/organizations/latest ### Resource Control Policy (RCP) -A **resource control policy (RCP)** ni sera inayobainisha **ruhusa za juu zaidi kwa rasilimali ndani ya shirika lako la AWS**. RCPs ni sawa na sera za IAM katika sintaksia lakini **hazitoi ruhusa**—zinakataza tu ruhusa ambazo zinaweza kutumika kwa rasilimali na sera nyingine. Unapounganisha RCP kwa mzizi wa shirika lako, kitengo cha shirika (OU), au akaunti, RCP inakandamiza ruhusa za rasilimali katika rasilimali zote katika upeo ulioathiriwa. +A **resource control policy (RCP)** ni sera inayobainisha **ruhusa za juu zaidi kwa rasilimali ndani ya shirika lako la AWS**. RCPs ni sawa na sera za IAM katika sarufi lakini **hazitoi ruhusa**—zinakataza tu ruhusa ambazo zinaweza kutumika kwa rasilimali na sera nyingine. Unapounganisha RCP kwa mzizi wa shirika lako, kitengo cha shirika (OU), au akaunti, RCP inakandamiza ruhusa za rasilimali katika rasilimali zote katika upeo ulioathiriwa. Hii ndiyo NJIA PEKEE ya kuhakikisha kwamba **rasilimali hazizidi viwango vya ufikiaji vilivyowekwa**—hata kama sera inayotegemea utambulisho au rasilimali ni ya kupitiliza. Njia pekee ya kupita mipaka hii ni pia kubadilisha RCP iliyowekwa na akaunti ya usimamizi wa shirika lako. > [!WARNING] > RCPs zinakandamiza tu ruhusa ambazo rasilimali zinaweza kuwa nazo. Hazidhibiti moja kwa moja kile wakuu wanaweza kufanya. Kwa mfano, ikiwa RCP inakataza ufikiaji wa nje kwa akiba ya S3, inahakikisha kwamba ruhusa za akiba haziruhusu vitendo zaidi ya mipaka iliyowekwa—hata kama sera inayotegemea rasilimali imewekwa vibaya. -RCP mifano: +Mifano ya RCP: - Kandamiza akiba za S3 ili ziweze kufikiwa tu na wakuu ndani ya shirika lako -- Punguza matumizi ya funguo za KMS ili ruhusu tu operesheni kutoka kwa akaunti za shirika zinazotegemewa +- Punguza matumizi ya funguo za KMS ili ruhusu tu operesheni kutoka akaunti za shirika zinazotegemewa - Punguza ruhusa kwenye foleni za SQS ili kuzuia mabadiliko yasiyoidhinishwa - Lazimisha mipaka ya ufikiaji kwenye siri za Meneja wa Siri ili kulinda data nyeti @@ -103,7 +103,7 @@ Kumbuka kwamba kuna sehemu 4 katika AWS lakini njia 3 tu za kuziita: IAM ni huduma itakayokuruhusu kusimamia **Uthibitishaji**, **Idhini** na **Udhibiti wa Ufikiaji** ndani ya akaunti yako ya AWS. - **Uthibitishaji** - Mchakato wa kufafanua utambulisho na uthibitisho wa utambulisho huo. Mchakato huu unaweza kugawanywa katika: Utambulisho na uthibitisho. -- **Idhini** - Inabainisha ni nini utambulisho unaweza kufikia ndani ya mfumo mara tu unapothibitishwa. +- **Idhini** - Inaamua ni nini utambulisho unaweza kufikia ndani ya mfumo mara tu unapothibitishwa. - **Udhibiti wa Ufikiaji** - Njia na mchakato wa jinsi ufikiaji unavyotolewa kwa rasilimali salama. IAM inaweza kufafanuliwa kwa uwezo wake wa kusimamia, kudhibiti na kuongoza mitambo ya uthibitishaji, idhini na udhibiti wa ufikiaji wa utambulisho kwa rasilimali zako ndani ya akaunti yako ya AWS. @@ -118,11 +118,11 @@ Kutoka kwa mtazamo wa usalama, inapendekezwa kuunda watumiaji wengine na kuepuka ### [Watumiaji wa IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_users.html) -Mtumiaji wa IAM ni kiumbe ambacho unaunda katika AWS ili **wakilisha mtu au programu** inayotumia hiyo ili **kuingiliana na AWS**. Mtumiaji katika AWS unajumuisha jina na hati (nenosiri na funguo za ufikiaji hadi mbili). +Mtumiaji wa IAM ni kiumbe unachounda katika AWS ili **wakilisha mtu au programu** inayotumia hiyo ili **kuingiliana na AWS**. Mtumiaji katika AWS unajumuisha jina na ithibitisho (nenosiri na funguo za ufikiaji hadi mbili). Unapounda mtumiaji wa IAM, unampa **idhini** kwa kumfanya kuwa **mwanachama wa kundi la watumiaji** ambalo lina sera za idhini zinazofaa (inapendekezwa), au kwa **kuambatisha sera moja kwa moja** kwa mtumiaji. -Watumiaji wanaweza kuwa na **MFA iliyoanzishwa kuingia** kupitia console. Tokeni za API za watumiaji walioanzisha MFA hazilindwi na MFA. Ikiwa unataka **kudhibiti ufikiaji wa funguo za API za watumiaji kwa kutumia MFA** unahitaji kuashiria katika sera hiyo kwamba ili kutekeleza vitendo fulani MFA inahitaji kuwepo (mfano [**hapa**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). +Watumiaji wanaweza kuwa na **MFA iliyoanzishwa kuingia** kupitia console. Token za API za watumiaji walioanzisha MFA hazilindwi na MFA. Ikiwa unataka **kudhibiti ufikiaji wa funguo za API za watumiaji kwa kutumia MFA** unahitaji kuashiria katika sera kwamba ili kutekeleza vitendo fulani MFA inahitaji kuwepo (mfano [**hapa**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html)). #### CLI @@ -130,7 +130,7 @@ Watumiaji wanaweza kuwa na **MFA iliyoanzishwa kuingia** kupitia console. Tokeni - **Kitambulisho cha funguo za siri za ufikiaji**: herufi 40 za bahati nasibu za kubwa na ndogo: S836fh/J73yHSb64Ag3Rkdi/jaD6sPl6/antFtU (Haiwezekani kurejesha kitambulisho cha funguo za siri zilizopotea). Wakati wowote unahitaji **kubadilisha Funguo za Ufikiaji** huu ndio mchakato unapaswa kufuata:\ -_Unda funguo mpya za ufikiaji -> Tumia funguo mpya kwa mfumo/programu -> weka ya awali kuwa isiyo hai -> Jaribu na thibitisha funguo mpya za ufikiaji zinafanya kazi -> Futa funguo za zamani za ufikiaji_ +_Unda funguo mpya za ufikiaji -> Tumia funguo mpya kwenye mfumo/programu -> weka ya awali kama isiyo hai -> Jaribu na thibitisha funguo mpya za ufikiaji zinafanya kazi -> Futa funguo za zamani za ufikiaji_ ### MFA - Uthibitishaji wa Vigezo Vingi @@ -140,54 +140,54 @@ Unaweza kutumia **programu ya bure ya mtandaoni au kifaa halisi**. Unaweza kutum Sera zenye masharti ya MFA zinaweza kuambatishwa kwa yafuatayo: - Mtumiaji wa IAM au kundi -- Rasilimali kama vile ndoo ya Amazon S3, foleni ya Amazon SQS, au mada ya Amazon SNS +- Rasilimali kama vile kikasha cha Amazon S3, foleni ya Amazon SQS, au mada ya Amazon SNS - Sera ya kuaminika ya jukumu la IAM ambalo linaweza kuchukuliwa na mtumiaji -Ikiwa unataka **kufikia kupitia CLI** rasilimali ambayo **inaangalia MFA** unahitaji kuita **`GetSessionToken`**. Hiyo itakupa tokeni yenye taarifa kuhusu MFA.\ -Kumbuka kwamba **`AssumeRole` hati za kuingia hazina taarifa hii**. +Ikiwa unataka **kufikia kupitia CLI** rasilimali ambayo **inaangalia MFA** unahitaji kuita **`GetSessionToken`**. Hii itakupa token yenye taarifa kuhusu MFA.\ +Kumbuka kwamba **`AssumeRole` ithibitisho haina taarifa hii**. ```bash aws sts get-session-token --serial-number --token-code ``` Kama [**ilivyosemwa hapa**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_mfa_configure-api-require.html), kuna kesi nyingi tofauti ambapo **MFA haiwezi kutumika**. -### [IAM user groups](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) +### [Makundi ya watumiaji wa IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) -Kikundi cha [mtumiaji wa IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) ni njia ya **kuunganisha sera kwa watumiaji wengi** kwa wakati mmoja, ambayo inaweza kurahisisha usimamizi wa ruhusa za watumiaji hao. **Majukumu na vikundi haviwezi kuwa sehemu ya kundi**. +Kundi la [mtumiaji wa IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_groups.html) ni njia ya **kuunganisha sera kwa watumiaji wengi** kwa wakati mmoja, ambayo inaweza kurahisisha usimamizi wa ruhusa za watumiaji hao. **Majukumu na makundi hayawezi kuwa sehemu ya kundi**. -Unaweza kuunganisha **sera ya msingi wa utambulisho kwa kikundi cha mtumiaji** ili kwamba **watumiaji** wote katika kikundi cha mtumiaji **wapate ruhusa za sera**. Huwezi **kutambua** kikundi cha **mtumiaji** kama **`Principal`** katika **sera** (kama sera ya msingi wa rasilimali) kwa sababu vikundi vinahusiana na ruhusa, si uthibitisho, na wakuu ni entiti za IAM zilizothibitishwa. +Unaweza kuunganisha **sera inayotegemea utambulisho kwa kundi la mtumiaji** ili watumiaji wote katika kundi la mtumiaji **wapate ruhusa za sera**. Huwezi **kutambua kundi la mtumiaji** kama **`Principal`** katika **sera** (kama sera inayotegemea rasilimali) kwa sababu makundi yanahusiana na ruhusa, si uthibitisho, na wakuu ni viumbe vya IAM vilivyothibitishwa. -Hapa kuna sifa muhimu za vikundi vya watumiaji: +Hapa kuna sifa muhimu za makundi ya watumiaji: -- Kikundi cha mtumiaji **kinaweza kuwa na watumiaji wengi**, na **mtumiaji** anaweza **kuwa sehemu ya vikundi vingi**. -- **Vikundi vya watumiaji haviwezi kuingizwa**; vinaweza kuwa na watumiaji tu, si vikundi vingine vya watumiaji. -- Hakuna **kikundi cha mtumiaji cha chaguo-msingi ambacho kinajumuisha watumiaji wote katika akaunti ya AWS**. Ikiwa unataka kuwa na kikundi cha mtumiaji kama hicho, lazima uunde na kupewa kila mtumiaji mpya. -- Idadi na ukubwa wa rasilimali za IAM katika akaunti ya AWS, kama vile idadi ya vikundi, na idadi ya vikundi ambavyo mtumiaji anaweza kuwa mwanachama, zimepangwa. Kwa maelezo zaidi, angalia [IAM na AWS STS quotas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html). +- Kundi la mtumiaji **linaweza kuwa na watumiaji wengi**, na **mtumiaji** anaweza **kuwa sehemu ya makundi mengi**. +- **Makundi ya watumiaji hayawezi kuwekwa ndani**; yanaweza kuwa na watumiaji tu, si makundi mengine ya watumiaji. +- Hakuna **kundi la mtumiaji la default ambalo linajumuisha watumiaji wote katika akaunti ya AWS**. Ikiwa unataka kuwa na kundi la mtumiaji kama hilo, lazima ulunde na kupewa kila mtumiaji mpya. +- Idadi na ukubwa wa rasilimali za IAM katika akaunti ya AWS, kama vile idadi ya makundi, na idadi ya makundi ambayo mtumiaji anaweza kuwa mwanachama, zimepangwa. Kwa maelezo zaidi, angalia [IAM na AWS STS quotas](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_iam-quotas.html). -### [IAM roles](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) +### [Majukumu ya IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html) -**Jukumu la IAM** ni **kama** **mtumiaji**, kwa kuwa ni **utambulisho wenye sera za ruhusa zinazotaja kile** kinaweza na hakiwezi kufanya katika AWS. Hata hivyo, jukumu **halina akreditif yoyote** (nenosiri au funguo za ufikiaji) zinazohusishwa nalo. Badala ya kuwa na uhusiano wa kipekee na mtu mmoja, jukumu linakusudia kuwa **linaweza kuchukuliwa na yeyote anayeihitaji (na kuwa na ruhusa za kutosha)**. Mtumiaji wa **IAM anaweza kuchukua jukumu ili kwa muda** kuchukua ruhusa tofauti kwa kazi maalum. Jukumu linaweza kupewa [**mtumiaji wa shirikisho**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) anayeingia kwa kutumia mtoa huduma wa utambulisho wa nje badala ya IAM. +**Jukumu la IAM** ni **kama** **mtumiaji**, kwa kuwa ni **utambulisho wenye sera za ruhusa zinazotaja kile** kinaweza na hakiwezi kufanya katika AWS. Hata hivyo, jukumu **halina akreditif yoyote** (nenosiri au funguo za ufikiaji) zinazohusishwa nalo. Badala ya kuwa na uhusiano wa kipekee na mtu mmoja, jukumu linakusudia kuwa **linaweza kuchukuliwa na yeyote anayeihitaji (na kuwa na ruhusa za kutosha)**. Mtumiaji wa **IAM anaweza kuchukua jukumu ili kwa muda** kuchukua ruhusa tofauti kwa kazi maalum. Jukumu linaweza **kupewa** [**mtumiaji wa shirikisho**](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers.html) anayeingia kwa kutumia mtoa huduma wa utambulisho wa nje badala ya IAM. -Jukumu la IAM linajumuisha **aina mbili za sera**: Sera ya **kuamini**, ambayo haiwezi kuwa tupu, inayoeleza **nani anaweza kuchukua** jukumu, na sera ya **ruhusa**, ambayo haiwezi kuwa tupu, inayoeleza **nini kinaweza kufikiwa**. +Jukumu la IAM linajumuisha **aina mbili za sera**: Sera ya **kuaminiana**, ambayo haiwezi kuwa tupu, inayoeleza **nani anaweza kuchukua** jukumu, na sera ya **ruhusa**, ambayo haiwezi kuwa tupu, inayoeleza **nini kinaweza kufikiwa**. -#### AWS Security Token Service (STS) +#### Huduma ya Usalama ya Tokeni ya AWS (STS) -AWS Security Token Service (STS) ni huduma ya wavuti inayorahisisha **utoaji wa akreditif za muda mfupi, zenye ruhusa zilizopunguzwa**. Imeandaliwa mahsusi kwa: +Huduma ya Usalama ya Tokeni ya AWS (STS) ni huduma ya wavuti inayorahisisha **utoaji wa akreditif za muda mfupi, zenye ruhusa zilizopunguzwa**. Imeandaliwa mahsusi kwa: -### [Temporary credentials in IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) +### [Akreditif za muda mfupi katika IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp.html) -**Akreditif za muda mfupi zinatumika hasa na majukumu ya IAM**, lakini pia kuna matumizi mengine. Unaweza kuomba akreditif za muda mfupi ambazo zina seti ya ruhusa iliyopunguzwa zaidi kuliko mtumiaji wako wa kawaida wa IAM. Hii **inaepuka** wewe **kufanya kazi ambazo haziruhusiwi** na akreditif zilizopunguzwa zaidi. Faida ya akreditif za muda mfupi ni kwamba zinakoma moja kwa moja baada ya kipindi fulani. Una udhibiti juu ya muda ambao akreditif hizo ni halali. +**Akreditif za muda mfupi zinatumika hasa na majukumu ya IAM**, lakini pia kuna matumizi mengine. Unaweza kuomba akreditif za muda mfupi ambazo zina seti ya ruhusa zilizopunguzwa zaidi kuliko mtumiaji wako wa kawaida wa IAM. Hii **inaepuka** wewe **kufanya kazi ambazo haziruhusiwi** na akreditif zilizopunguzwa zaidi. Faida ya akreditif za muda mfupi ni kwamba zinakoma moja kwa moja baada ya kipindi fulani. Una udhibiti juu ya muda ambao akreditif hizo ni halali. -### Policies +### Sera -#### Policy Permissions +#### Ruhusa za Sera -Zinatumiwa kupewa ruhusa. Kuna aina 2: +Zinatumiwa kutoa ruhusa. Kuna aina 2: - Sera zinazodhibitiwa na AWS (zilizopangwa na AWS) -- Sera Zinazosimamiwa na Wateja: Zimepangwa na wewe. Unaweza kuunda sera kulingana na sera zinazodhibitiwa na AWS (ukibadilisha moja yao na kuunda yako), ukitumia jenereta ya sera (maoni ya GUI yanayokusaidia kutoa na kukataa ruhusa) au kuandika yako mwenyewe. +- Sera Zinazosimamiwa na Wateja: Zimepangwa na wewe. Unaweza kuunda sera kulingana na sera zinazodhibitiwa na AWS (ukibadilisha moja yao na kuunda yako mwenyewe), ukitumia jenereta ya sera (maoni ya GUI yanayokusaidia kutoa na kukataa ruhusa) au kuandika yako mwenyewe. -Kwa **default access** ni **imekataliwa**, ufikiaji utawekwa ikiwa jukumu maalum limeainishwa.\ -Ikiwa **"Deny" moja ipo, itazidi "Allow"**, isipokuwa kwa maombi yanayotumia akreditif za usalama za mizizi ya akaunti ya AWS (ambazo zinaruhusiwa kwa chaguo-msingi). +Kwa **default ufikiaji** unakataliwa, ufikiaji utawekwa ikiwa jukumu maalum limeainishwa.\ +Ikiwa **"Deny" moja ipo, itazidi "Allow"**, isipokuwa kwa maombi yanayotumia akreditif za usalama za mizizi ya akaunti ya AWS (ambazo zinaruhusiwa kwa default). ```javascript { "Version": "2012-10-17", //Version of the policy @@ -216,11 +216,11 @@ The [specific fields that can be used for conditions per service are documented #### Inline Policies Aina hii ya sera ni **zinazopewa moja kwa moja** kwa mtumiaji, kundi au jukumu. Hivyo, hazionekani katika orodha ya Sera kama wengine wanaweza kuzitumia.\ -Sera za ndani ni muhimu ikiwa unataka **kuhifadhi uhusiano mkali wa moja kwa moja kati ya sera na kitambulisho** ambacho inatumika. Kwa mfano, unataka kuhakikisha kwamba ruhusa katika sera hazitolewi kwa bahati mbaya kwa kitambulisho kingine isipokuwa kile ambacho zimekusudiwa. Unapokuwa unatumia sera ya ndani, ruhusa katika sera haiwezi kuunganishwa kwa bahati mbaya na kitambulisho kibaya. Zaidi ya hayo, unapokuwa unatumia AWS Management Console kufuta kitambulisho hicho, sera zilizojumuishwa katika kitambulisho pia zitatolewa. Hiyo ni kwa sababu ni sehemu ya chombo kikuu. +Sera za ndani ni muhimu ikiwa unataka **kuhifadhi uhusiano mkali wa moja kwa moja kati ya sera na kitambulisho** ambacho inatumika. Kwa mfano, unataka kuwa na uhakika kwamba ruhusa katika sera hazitapewa kwa bahati mbaya kwa kitambulisho kingine isipokuwa kile ambacho zimekusudiwa. Unapoitumia sera ya ndani, ruhusa katika sera haiwezi kuunganishwa kwa bahati mbaya na kitambulisho kibaya. Zaidi ya hayo, unapoitumia AWS Management Console kufuta kitambulisho hicho, sera zilizojumuishwa katika kitambulisho pia zitatolewa. Hiyo ni kwa sababu ni sehemu ya chombo kikuu. #### Resource Bucket Policies -Hizi ni **sera** ambazo zinaweza kufafanuliwa katika **rasilimali**. **Si rasilimali zote za AWS zinazoziunga mkono**. +Hizi ni **sera** ambazo zinaweza kufafanuliwa katika **rasilimali**. **Si rasilimali zote za AWS zinazozisadia**. Ikiwa chombo hakina kukataa wazi juu yao, na sera ya rasilimali inawapa ufikiaji, basi wanaruhusiwa. @@ -228,15 +228,15 @@ Ikiwa chombo hakina kukataa wazi juu yao, na sera ya rasilimali inawapa ufikiaji Mipaka ya IAM inaweza kutumika **kudhibiti ruhusa ambazo mtumiaji au jukumu linapaswa kuwa na ufikiaji**. Kwa njia hii, hata kama seti tofauti za ruhusa zinatolewa kwa mtumiaji na **sera tofauti**, operesheni itashindwa ikiwa atajaribu kuzitumia. -Pazia ni sera tu iliyounganishwa na mtumiaji ambayo **inaonyesha kiwango cha juu cha ruhusa ambacho mtumiaji au jukumu linaweza kuwa nacho**. Hivyo, **hata kama mtumiaji ana ufikiaji wa Msimamizi**, ikiwa pazia linaonyesha anaweza kusoma tu S· buckets, hiyo ndiyo kiwango cha juu anachoweza kufanya. +Mpaka ni sera tu iliyounganishwa na mtumiaji ambayo **inaonyesha kiwango cha juu cha ruhusa ambacho mtumiaji au jukumu linaweza kuwa nacho**. Hivyo, **hata kama mtumiaji ana ufikiaji wa Msimamizi**, ikiwa mpaka inaonyesha anaweza kusoma tu S· mabakuli, hiyo ndiyo kiwango cha juu anachoweza kufanya. **Hii**, **SCPs** na **kufuata kanuni ya ruhusa ndogo** ndiyo njia za kudhibiti kwamba watumiaji hawana ruhusa zaidi ya zile anazohitaji. ### Session Policies -Sera ya kikao ni **sera inayowekwa wakati jukumu linachukuliwa** kwa namna fulani. Hii itakuwa kama **pazia la IAM kwa kikao hicho**: Hii inamaanisha kwamba sera ya kikao haitoi ruhusa bali **inaweka vizuizi kwa zile zilizoainishwa katika sera** (ikiwa ruhusa za juu ni zile ambazo jukumu lina). +Sera ya kikao ni **sera inayowekwa wakati jukumu linachukuliwa** kwa namna fulani. Hii itakuwa kama **mpaka wa IAM kwa kikao hicho**: Hii inamaanisha kwamba sera ya kikao haitoi ruhusa bali **inaweka vizuizi kwa zile zilizoainishwa katika sera** (ikiwa ruhusa za juu ni zile ambazo jukumu lina). -Hii ni muhimu kwa **hatua za usalama**: Wakati msimamizi anapokuwa anachukua jukumu lenye ruhusa nyingi, anaweza kuzuia ruhusa kuwa zile tu zilizoainishwa katika sera ya kikao endapo kikao kitaharibiwa. +Hii ni muhimu kwa **hatua za usalama**: Wakati msimamizi anapokuwa na jukumu lenye mamlaka makubwa anaweza kuzuia ruhusa kuwa zile tu zilizoainishwa katika sera ya kikao endapo kikao kitaharibiwa. ```bash aws sts assume-role \ --role-arn \ @@ -244,18 +244,18 @@ aws sts assume-role \ [--policy-arns ] [--policy ] ``` -Note that by default **AWS inaweza kuongeza sera za kikao kwa vikao** ambavyo vitaundwa kwa sababu za tatu. Kwa mfano, katika [roles za cognito zisizo na uthibitisho](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) kwa kawaida (kwa kutumia uthibitisho ulioimarishwa), AWS itaunda **akiba za kikao zenye sera ya kikao** ambayo inakadiria huduma ambazo kikao kinaweza kufikia [**katika orodha ifuatayo**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). +Note that by default **AWS inaweza kuongeza sera za kikao kwa vikao** ambavyo vitaundwa kwa sababu za tatu. Kwa mfano, katika [roles za cognito zisizo na uthibitisho](../aws-services/aws-cognito-enum/cognito-identity-pools.md#accessing-iam-roles) kwa default (kwa kutumia uthibitisho ulioimarishwa), AWS itaunda **akiba za kikao zenye sera ya kikao** ambayo inazuia huduma ambazo kikao kinaweza kufikia [**katika orodha ifuatayo**](https://docs.aws.amazon.com/cognito/latest/developerguide/iam-roles.html#access-policies-scope-down-services). -Hivyo, ikiwa kwa wakati fulani unakutana na kosa "... kwa sababu hakuna sera ya kikao inayoruhusu ...", na jukumu lina ufikiaji wa kutekeleza kitendo hicho, ni kwa sababu **kuna sera ya kikao inayozuia**. +Hivyo, ikiwa wakati fulani unakutana na kosa "... kwa sababu hakuna sera ya kikao inayoruhusu ...", na jukumu lina ufikiaji wa kutekeleza kitendo hicho, ni kwa sababu **kuna sera ya kikao inayozuia**. ### Ushirikiano wa Utambulisho Ushirikiano wa utambulisho **unawaruhusu watumiaji kutoka kwa watoa huduma za utambulisho ambao ni nje** ya AWS kufikia rasilimali za AWS kwa usalama bila ya kutoa akiba za mtumiaji wa AWS kutoka kwa akaunti halali ya IAM.\ Mfano wa mtoa huduma wa utambulisho unaweza kuwa **Microsoft Active Directory** yako mwenyewe (kupitia **SAML**) au huduma za **OpenID** (kama **Google**). Ufikiaji wa ushirikiano utaweza kuwapa watumiaji ndani yake ufikiaji wa AWS. -Ili kuunda uaminifu huu, **Mtoa Huduma wa Utambulisho wa IAM unaundwa (SAML au OAuth)** ambao utakuwa **na uaminifu** kwa **jukwaa lingine**. Kisha, angalau **jukumu moja linapewa (linaloaminika) kwa Mtoa Huduma wa Utambulisho**. Ikiwa mtumiaji kutoka kwenye jukwaa lililoaminika anafikia AWS, atakuwa akifikia kama jukumu lililotajwa. +Ili kuunda uaminifu huu, **Mtoa Huduma wa Utambulisho wa IAM unaundwa (SAML au OAuth)** ambao utakuwa **na uaminifu** kwa **jukwaa lingine**. Kisha, angalau **jukumu moja linapewa (linaloamini) Mtoa Huduma wa Utambulisho**. Ikiwa mtumiaji kutoka kwenye jukwaa lililoaminiwa anafikia AWS, atakuwa akifanya hivyo kama jukumu lililotajwa. -Hata hivyo, kwa kawaida unataka kutoa **jukumu tofauti kulingana na kundi la mtumiaji** katika jukwaa la upande wa tatu. Kisha, **majukumu kadhaa ya IAM yanaweza kuaminika** kwa Mtoa Huduma wa Utambulisho wa upande wa tatu na jukwaa la upande wa tatu litakuwa likiruhusu watumiaji kuchukua jukumu moja au jingine. +Hata hivyo, kwa kawaida unataka kutoa **jukumu tofauti kulingana na kundi la mtumiaji** katika jukwaa la upande wa tatu. Kisha, **majukumu kadhaa ya IAM yanaweza kuamini** Mtoa Huduma wa Utambulisho wa upande wa tatu na jukwaa la upande wa tatu litakuwa likiruhusu watumiaji kuchukua jukumu moja au jingine.
@@ -269,24 +269,24 @@ Ili kuingia kwa watumiaji, kuna vyanzo 3 vya utambulisho ambavyo vinaweza kutumi - Kituo cha Utambulisho: Watumiaji wa kawaida wa AWS - Active Directory: Inasaidia viunganishi tofauti -- Mtoa Huduma wa Utambulisho wa Nje: Watumiaji na makundi yote yanatoka kwa Mtoa Huduma wa Utambulisho wa Nje (IdP) +- Mtoa Huduma wa Utambulisho wa Nje: Watumiaji wote na makundi yanatoka kwa Mtoa Huduma wa Utambulisho wa Nje (IdP)
-Katika kesi rahisi ya directory ya Kituo cha Utambulisho, **Kituo cha Utambulisho kitakuwa na orodha ya watumiaji na makundi** na kitaweza **kutoa sera** kwao kwa **akaunti zozote** za shirika. +Katika kesi rahisi ya kituo cha utambulisho, **Kituo cha Utambulisho kitakuwa na orodha ya watumiaji na makundi** na kitaweza **kutoa sera** kwao kwa **akaunti zozote** za shirika. -Ili kutoa ufikiaji kwa mtumiaji/kundi wa Kituo cha Utambulisho kwa akaunti, **Mtoa Huduma wa Utambulisho wa SAML unaoaminika Kituo cha Utambulisho utaundwa**, na **jukumu linaloaminika Mtoa Huduma wa Utambulisho lenye sera zilizotajwa litaundwa** katika akaunti ya marudio. +Ili kutoa ufikiaji kwa mtumiaji/kundi wa Kituo cha Utambulisho kwa akaunti, **Mtoa Huduma wa Utambulisho wa SAML unaoamini Kituo cha Utambulisho utaundwa**, na **jukumu linaloamini Mtoa Huduma wa Utambulisho lenye sera zilizotajwa litaundwa** katika akaunti ya marudio. #### AwsSSOInlinePolicy -Inawezekana **kutoa ruhusa kupitia sera za ndani kwa majukumu yaliyoandaliwa kupitia Kituo cha Utambulisho wa IAM**. Majukumu yaliyoandaliwa katika akaunti zinazotolewa **sera za ndani katika Kituo cha Utambulisho wa AWS** yatakuwa na ruhusa hizi katika sera ya ndani inayoitwa **`AwsSSOInlinePolicy`**. +Inawezekana **kutoa ruhusa kupitia sera za ndani kwa majukumu yaliyoandaliwa kupitia Kituo cha Utambulisho wa IAM**. Majukumu yaliyoandaliwa katika akaunti zinazopatiwa **sera za ndani katika Kituo cha Utambulisho wa AWS** yatakuwa na ruhusa hizi katika sera ya ndani inayoitwa **`AwsSSOInlinePolicy`**. Hivyo, hata kama unaona majukumu 2 yenye sera ya ndani inayoitwa **`AwsSSOInlinePolicy`**, **haimaanishi ina ruhusa sawa**. -### Uaminifu na Majukumu ya Mipaka +### Uaminifu na Majukumu ya Akaunti Mbalimbali -**Mtumiaji** (anayeaminika) anaweza kuunda Jukumu la Mipaka na sera kadhaa na kisha, **kuruhusu mtumiaji mwingine** (aliyeaminika) **kuingia kwenye akaunti yake** lakini tu **akiwa na ufikiaji ulioainishwa katika sera mpya za jukumu**. Ili kuunda hii, tengeneza tu Jukumu jipya na uchague Jukumu la Mipaka. Majukumu ya Ufikiaji wa Mipaka hutoa chaguzi mbili. Kutoa ufikiaji kati ya akaunti za AWS ambazo unamiliki, na kutoa ufikiaji kati ya akaunti ambayo unamiliki na akaunti ya AWS ya upande wa tatu.\ -Inapendekezwa **kueleza mtumiaji ambaye anaaminika na si kuweka kitu cha jumla** kwa sababu ikiwa sivyo, watumiaji wengine walioidhinishwa kama watumiaji wa ushirikiano wataweza pia kutumia uaminifu huu. +**Mtumiaji** (anayeamini) anaweza kuunda Jukumu la Akaunti Mbalimbali lenye sera fulani na kisha, **kuruhusu mtumiaji mwingine** (aliyeaminiwa) **kuingia kwenye akaunti yake** lakini tu **akiwa na ufikiaji ulioonyeshwa katika sera za jukumu jipya**. Ili kuunda hii, tengeneza Jukumu jipya na uchague Jukumu la Akaunti Mbalimbali. Majukumu ya Ufikiaji wa Akaunti Mbalimbali yanatoa chaguzi mbili. Kutoa ufikiaji kati ya akaunti za AWS ambazo unamiliki, na kutoa ufikiaji kati ya akaunti ambayo unamiliki na akaunti ya AWS ya upande wa tatu.\ +Inapendekezwa **kueleza mtumiaji ambaye anaaminiwa na si kuweka kitu chochote cha jumla** kwa sababu vinginevyo, watumiaji wengine walioidhinishwa kama watumiaji wa ushirikiano wataweza pia kutumia uaminifu huu. ### AWS Simple AD @@ -295,19 +295,19 @@ Haitambuliwi: - Mahusiano ya Uaminifu - Kituo cha Usimamizi wa AD - Msaada kamili wa PS API -- Kituo cha Recycle cha AD +- Kihifadhi cha AD - Akaunti za Huduma za Kundi -- Upanuzi wa Mpango +- Upanuzi wa Mpangilio - Hakuna ufikiaji wa moja kwa moja kwa OS au Mifano #### Ushirikiano wa Mtandao au Uthibitishaji wa OpenID -Programu inatumia AssumeRoleWithWebIdentity kuunda akiba za muda. Hata hivyo, hii haisaidii ufikiaji wa console ya AWS, bali ufikiaji wa rasilimali ndani ya AWS. +Programu inatumia AssumeRoleWithWebIdentity kuunda akiba za muda. Hata hivyo, hii haitoi ufikiaji wa konsoli ya AWS, bali ufikiaji wa rasilimali ndani ya AWS. ### Chaguzi Nyingine za IAM - Unaweza **kufafanua mipangilio ya sera ya nywila** kama urefu wa chini na mahitaji ya nywila. -- Unaweza **kupakua "Ripoti ya Akiba"** yenye taarifa kuhusu akiba za sasa (kama wakati wa kuunda mtumiaji, ikiwa nywila imewekwa...). Unaweza kuunda ripoti ya akiba mara kwa mara kama mara moja kila **saa nne**. +- Unaweza **kupakua "Ripoti ya Akiba"** yenye taarifa kuhusu akiba za sasa (kama wakati wa kuunda mtumiaji, ikiwa nywila imewezeshwa...). Unaweza kuunda ripoti ya akiba mara kwa mara kama mara moja kila **saa nne**. Usimamizi wa Utambulisho na Ufikiaji wa AWS (IAM) unatoa **udhibiti wa ufikiaji wa kina** katika AWS yote. Pamoja na IAM, unaweza kufafanua **nani anaweza kufikia huduma na rasilimali zipi**, na chini ya hali zipi. Pamoja na sera za IAM, unasimamia ruhusa kwa wafanyakazi na mifumo yako ili **kuhakikisha ruhusa za chini**. @@ -329,7 +329,7 @@ Katika [**ukurasa huu**](https://docs.aws.amazon.com/IAM/latest/UserGuide/refere | APKA | Public key | | AROA | Role | | ASCA | Certificate | -| ASIA | [Temporary (AWS STS) access key IDs](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) hutumia viambatisho hivi, lakini ni maalum tu kwa mchanganyiko na funguo ya siri ya ufikiaji na tokeni ya kikao. | +| ASIA | [Temporary (AWS STS) access key IDs](https://docs.aws.amazon.com/STS/latest/APIReference/API_Credentials.html) use this prefix, but are unique only in combination with the secret access key and the session token. | ### Ruhusa zinazopendekezwa kukagua akaunti @@ -348,7 +348,7 @@ Ruhusa zifuatazo zinatoa ufikiaji wa kusoma wa metadata: ### Uthibitishaji wa CLI -Ili mtumiaji wa kawaida aidhinishe kwa AWS kupitia CLI unahitaji kuwa na **akiba za ndani**. Kwa kawaida unaweza kuziunda **kwa mikono** katika `~/.aws/credentials` au kwa **kukimbia** `aws configure`.\ +Ili mtumiaji wa kawaida aidhinishe kwa AWS kupitia CLI unahitaji kuwa na **akiba za ndani**. Kwa default unaweza kuziunda **kwa mikono** katika `~/.aws/credentials` au kwa **kukimbia** `aws configure`.\ Katika faili hiyo unaweza kuwa na zaidi ya profaili moja, ikiwa **hakuna profaili** iliyotajwa kwa kutumia **aws cli**, ile inayoitwa **`[default]`** katika faili hiyo itatumika.\ Mfano wa faili la akiba lenye zaidi ya profaili 1: ``` @@ -381,7 +381,7 @@ Ikiwa unatafuta kitu **kama** hiki lakini kwa **browser** unaweza kuangalia **ex #### Kuandaa hati za muda -Ikiwa unatumia programu ambayo inazalisha hati za muda, inaweza kuwa ngumu kuzipeleka kwenye terminal yako kila baada ya dakika chache zinapokwisha. Hii inaweza kutatuliwa kwa kutumia mwelekeo wa `credential_process` katika faili ya usanidi. Kwa mfano, ikiwa una programu ya wavuti iliyo hatarini, unaweza kufanya: +Ikiwa unatumia programu ambayo inazalisha hati za muda, inaweza kuwa ngumu kuziupdate kwenye terminal yako kila baada ya dakika chache zinapokwisha. Hii inaweza kutatuliwa kwa kutumia mwelekeo wa `credential_process` katika faili ya config. Kwa mfano, ikiwa una webapp fulani iliyo hatarini, unaweza kufanya: ```toml [victim] credential_process = curl -d 'PAYLOAD' https://some-site.com @@ -396,7 +396,7 @@ Kumbuka kwamba akreditivu _lazima_ irejeshwe kwa STDOUT katika muundo ufuatao: "Expiration": "ISO8601 timestamp when the credentials expire" } ``` -## Marejeleo +## Marejeo - [https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_getting-started_concepts.html) - [https://aws.amazon.com/iam/](https://aws.amazon.com/iam/) diff --git a/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md b/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md index 329920ced..04e96c5c5 100644 --- a/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md +++ b/src/pentesting-cloud/aws-security/aws-persistence/aws-cloudformation-persistence.md @@ -12,7 +12,7 @@ Kwa maelezo zaidi, tembelea: ### CDK Bootstrap Stack -AWS CDK inapeleka CFN stack inayoitwa `CDKToolkit`. Stack hii inasaidia parameter `TrustedAccounts` ambayo inaruhusu akaunti za nje kupeleka miradi ya CDK kwenye akaunti ya mwathirika. Mshambuliaji anaweza kutumia hii kuwapa wenyewe ufikiaji usio na kikomo kwenye akaunti ya mwathirika, ama kwa kutumia AWS cli kupeleka tena stack hiyo kwa parameters, au AWS CDK cli. +AWS CDK inapeleka CFN stack inayoitwa `CDKToolkit`. Stack hii inasaidia parameter `TrustedAccounts` ambayo inaruhusu akaunti za nje kupeleka miradi ya CDK kwenye akaunti ya mwathirika. Mshambuliaji anaweza kutumia hii kuwapa ufikiaji usio na kikomo kwenye akaunti ya mwathirika, ama kwa kutumia AWS cli kupeleka tena stack na parameters, au AWS CDK cli. ```bash # CDK cdk bootstrap --trust 1234567890 diff --git a/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md b/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md index 89ccbf821..0125a9f62 100644 --- a/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md +++ b/src/pentesting-cloud/aws-security/aws-post-exploitation/aws-lambda-post-exploitation/README.md @@ -12,13 +12,13 @@ Kwa maelezo zaidi angalia: ### Exfiltrate Lambda Credentials -Lambda inatumia mazingira ya mabadiliko kuingiza akiba wakati wa utekelezaji. Ikiwa unaweza kupata ufikiaji wa hizo (kwa kusoma `/proc/self/environ` au kutumia kazi iliyo hatarini yenyewe), unaweza kuzitumia mwenyewe. Zinapatikana katika majina ya kawaida ya mabadiliko `AWS_SESSION_TOKEN`, `AWS_SECRET_ACCESS_KEY`, na `AWS_ACCESS_KEY_ID`. +Lambda inatumia mazingira ya mabadiliko kuingiza akreditif katika wakati wa utekelezaji. Ikiwa unaweza kupata ufikiaji wa hizo (kwa kusoma `/proc/self/environ` au kutumia kazi iliyo hatarini yenyewe), unaweza kuzitumia mwenyewe. Zinapatikana katika majina ya kawaida ya mabadiliko `AWS_SESSION_TOKEN`, `AWS_SECRET_ACCESS_KEY`, na `AWS_ACCESS_KEY_ID`. Kwa kawaida, hizi zitakuwa na ufikiaji wa kuandika kwenye kundi la kumbukumbu la cloudwatch (jina lake linahifadhiwa katika `AWS_LAMBDA_LOG_GROUP_NAME`), pamoja na kuunda makundi ya kumbukumbu yasiyo na mipaka, hata hivyo kazi za lambda mara nyingi zina ruhusa zaidi zilizotolewa kulingana na matumizi yao yaliyokusudiwa. ### Steal Others Lambda URL Requests -Ikiwa mshambuliaji kwa namna fulani anafanikiwa kupata RCE ndani ya Lambda atakuwa na uwezo wa kuiba maombi ya HTTP ya watumiaji wengine kwa lambda. Ikiwa maombi yana taarifa nyeti (cookies, akiba...) atakuwa na uwezo wa kuiba hizo. +Ikiwa mshambuliaji kwa namna fulani anafanikiwa kupata RCE ndani ya Lambda atakuwa na uwezo wa kuiba maombi ya HTTP ya watumiaji wengine kwa lambda. Ikiwa maombi yana taarifa nyeti (cookies, akreditif...) atakuwa na uwezo wa kuiba hizo. {{#ref}} aws-warm-lambda-persistence.md @@ -26,7 +26,7 @@ aws-warm-lambda-persistence.md ### Steal Others Lambda URL Requests & Extensions Requests -Kunyanyasa Lambda Layers pia inawezekana kunyanyasa nyongeza na kudumu katika lambda lakini pia kuiba na kubadilisha maombi. +Kutumia Lambda Layers pia inawezekana kutumia nyongeza na kudumu katika lambda lakini pia kuiba na kubadilisha maombi. {{#ref}} ../../aws-persistence/aws-lambda-persistence/aws-abusing-lambda-extensions.md diff --git a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md index 3d950ef41..ca2d495f4 100644 --- a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md +++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-cloudformation-privesc/README.md @@ -28,7 +28,7 @@ iam-passrole-cloudformation-createstack-and-cloudformation-describestacks.md ### `iam:PassRole`, (`cloudformation:UpdateStack` | `cloudformation:SetStackPolicy`) -Katika kesi hii unaweza **kudhulumu stack ya cloudformation iliyopo** ili kuisasaisha na kupandisha ruhusa kama ilivyo katika hali ya awali: +Katika kesi hii unaweza **kuitumia stack ya cloudformation iliyopo** kuisasaisha na kupandisha ruhusa kama ilivyo katika hali ya awali: ```bash aws cloudformation update-stack \ --stack-name privesc \ @@ -37,15 +37,15 @@ aws cloudformation update-stack \ --capabilities CAPABILITY_IAM \ --region eu-west-1 ``` -Ruhusa la `cloudformation:SetStackPolicy` linaweza kutumika **kujipewe ruhusa ya `UpdateStack`** juu ya stack na kutekeleza shambulio. +Ruhusa `cloudformation:SetStackPolicy` inaweza kutumika **kujiwezesha ruhusa ya `UpdateStack`** juu ya stack na kutekeleza shambulio. **Athari Zinazoweza Kutokea:** Privesc kwa jukumu la huduma la cloudformation lililotajwa. ### `cloudformation:UpdateStack` | `cloudformation:SetStackPolicy` -Ikiwa una ruhusa hii lakini **hakuna `iam:PassRole`** bado unaweza **kusasisha stacks** zinazotumika na kutumia **IAM Roles ambazo tayari zimeunganishwa**. Angalia sehemu ya awali kwa mfano wa exploit (usionyeshe jukumu lolote katika sasisho). +Ikiwa una ruhusa hii lakini **hakuna `iam:PassRole`** bado unaweza **kusasisha stacks** zinazotumika na kutumia **IAM Roles ambazo tayari zimeunganishwa**. Angalia sehemu ya awali kwa mfano wa matumizi (usionyeshe jukumu lolote katika sasisho). -Ruhusa la `cloudformation:SetStackPolicy` linaweza kutumika **kujipewe ruhusa ya `UpdateStack`** juu ya stack na kutekeleza shambulio. +Ruhusa `cloudformation:SetStackPolicy` inaweza kutumika **kujiwezesha ruhusa ya `UpdateStack`** juu ya stack na kutekeleza shambulio. **Athari Zinazoweza Kutokea:** Privesc kwa jukumu la huduma la cloudformation lililotajwa tayari. @@ -53,7 +53,7 @@ Ruhusa la `cloudformation:SetStackPolicy` linaweza kutumika **kujipewe ruhusa ya Mshambuliaji mwenye ruhusa za **kupitisha jukumu na kuunda & kutekeleza ChangeSet** anaweza **kuunda/kusasisha stack mpya ya cloudformation na kutumia jukumu za huduma za cloudformation** kama ilivyo kwa CreateStack au UpdateStack. -Exploit ifuatayo ni **toleo la**[ **CreateStack moja**](#iam-passrole-cloudformation-createstack) ikitumia **ruhusa za ChangeSet** kuunda stack. +Shambulio linalofuata ni **tofauti ya**[ **CreateStack moja**](#iam-passrole-cloudformation-createstack) ikitumia **ruhusa za ChangeSet** kuunda stack. ```bash aws cloudformation create-change-set \ --stack-name privesc \ @@ -79,13 +79,13 @@ aws cloudformation describe-stacks \ --stack-name privesc \ --region eu-west-1 ``` -Ruhusa `cloudformation:SetStackPolicy` inaweza kutumika **kujiwezesha ruhusa za `ChangeSet`** juu ya stack na kufanya shambulio. +Ruhusa `cloudformation:SetStackPolicy` inaweza kutumika **kujipewe ruhusa za `ChangeSet`** juu ya stack na kufanya shambulio. **Athari Zinazoweza Kutokea:** Privesc kwa majukumu ya huduma ya cloudformation. ### (`cloudformation:CreateChangeSet`, `cloudformation:ExecuteChangeSet`) | `cloudformation:SetStackPolicy`) -Hii ni kama njia ya awali bila kupitisha **majukumu ya IAM**, hivyo unaweza tu **kutumia yale yaliyoambatanishwa tayari**, badilisha tu parameter: +Hii ni kama njia ya awali bila kupitisha **majukumu ya IAM**, hivyo unaweza tu **kutumia yale yaliyounganishwa tayari**, badilisha tu parameter: ``` --change-set-type UPDATE ``` @@ -95,7 +95,7 @@ Hii ni kama njia ya awali bila kupitisha **majukumu ya IAM**, hivyo unaweza tu * Mshambuliaji anaweza kutumia ruhusa hizi kuunda/update StackSets ili kutumia majukumu ya cloudformation yasiyo na mipaka. -**Madhara Yanayoweza Kutokea:** Privesc kwa majukumu ya huduma ya cloudformation. +**Madhara Yanayoweza Kutokea:** Privesc kwa majukumu ya cloudformation. ### `cloudformation:UpdateStackSet` @@ -105,11 +105,11 @@ Mshambuliaji anaweza kutumia ruhusa hii bila ruhusa ya passRole ili kuboresha St ## AWS CDK -AWS cdk ni zana inayowezesha watumiaji kufafanua miundombinu yao kama msimbo katika lugha wanazozijua tayari, pamoja na kurahisisha matumizi ya sehemu. CDK kisha inabadilisha msimbo wa kiwango cha juu (yaani python) kuwa templeti za Cloudformation (yaml au json). +AWS cdk ni zana inayowezesha watumiaji kufafanua miundombinu yao kama msimbo katika lugha wanazozijua tayari, pamoja na kuruhusu urahisi wa kutumia sehemu tena. CDK kisha inabadilisha msimbo wa kiwango cha juu (yaani python) kuwa templeti za Cloudformation (yaml au json). Ili kutumia CDK, mtumiaji wa kiutawala lazima kwanza aweke msingi wa akaunti, ambayo inaunda majukumu kadhaa ya IAM, ikiwa ni pamoja na *exec role*, ambayo ina ruhusa \*/\*. Majukumu haya yanafuata muundo wa majina `cdk----`. Kuweka msingi lazima kufanyike mara moja kwa kila eneo kwa kila akaunti. -Kwa kawaida, watumiaji wa CDK hawana ufaccess wa kuorodhesha majukumu yanayohitajika kutumia CDK, ikimaanisha kuwa utahitaji kuyatambua kwa mikono. Ikiwa utavunja mashine ya mende au node ya CI/CD, majukumu haya yanaweza kudhaniwa kukupa uwezo wa kupeleka templeti za CFN, ukitumia `cfn-exec` role kuruhusu CFN kupeleka rasilimali yoyote, na hivyo kuathiri akaunti kwa ukamilifu. +Kwa kawaida, watumiaji wa CDK hawana uf access wa kuorodhesha majukumu yanayohitajika kutumia CDK, ikimaanisha kuwa utahitaji kuyatambua kwa mikono. Ikiwa utavunja mashine ya mende au node ya CI/CD, majukumu haya yanaweza kudhaniwa ili kujipa uwezo wa kupeleka templeti za CFN, ukitumia ruhusa ya `cfn-exec` kuruhusu CFN kupeleka rasilimali yoyote, na hivyo kuathiri akaunti hiyo kabisa. ### Kutambua majina ya majukumu @@ -128,7 +128,7 @@ cdk-hnb659fds-lookup-role-- ``` ### Kuongeza msimbo mbaya kwenye chanzo cha mradi -Ikiwa unaweza kuandika kwenye chanzo cha mradi, lakini huwezi kupeleka mwenyewe (kwa mfano, mendelezi yanapeleka msimbo kupitia CI/CD, si mashine ya ndani), bado unaweza kuathiri mazingira kwa kuongeza rasilimali mbaya kwenye stack. Ifuatayo inaongeza jukumu la IAM ambalo linaweza kuchukuliwa na akaunti ya mshambuliaji kwenye mradi wa python CDK. +Ikiwa unaweza kuandika kwenye chanzo cha mradi, lakini huwezi kupeleka mwenyewe (kwa mfano, mende anapeleka msimbo kupitia CI/CD, si mashine ya ndani), bado unaweza kuathiri mazingira kwa kuongeza rasilimali mbaya kwenye stack. Ifuatayo inaongeza jukumu la IAM ambalo linaweza kuchukuliwa na akaunti ya mshambuliaji kwenye mradi wa python CDK. ```python class CdkTestStack(Stack): def __init__(self, scope: Construct, construct_id: str, **kwargs) -> None: diff --git a/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md b/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md index 964968978..8d9326ac6 100644 --- a/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md +++ b/src/pentesting-cloud/aws-security/aws-services/aws-cloudformation-and-codestar-enum.md @@ -4,7 +4,7 @@ ## CloudFormation -AWS CloudFormation ni huduma iliyoundwa ili **kurahisisha usimamizi wa rasilimali za AWS**. Inawawezesha watumiaji kuzingatia zaidi kwenye programu zao zinazofanya kazi katika AWS kwa **kupunguza muda unaotumika katika usimamizi wa rasilimali**. Kipengele kikuu cha huduma hii ni **kigezo**—mfano wa kuelezea wa rasilimali za AWS zinazotakiwa. Mara kigezo hiki kinapopewa, CloudFormation inawajibika kwa **ugawaji na usanidi** wa rasilimali zilizotajwa. Utaftaji huu unarahisisha usimamizi wa miundombinu ya AWS kwa ufanisi zaidi na bila makosa. +AWS CloudFormation ni huduma iliyoundwa ili **kurahisisha usimamizi wa rasilimali za AWS**. Inawawezesha watumiaji kuzingatia zaidi kwenye programu zao zinazotembea katika AWS kwa **kupunguza muda unaotumika katika usimamizi wa rasilimali**. Kipengele kikuu cha huduma hii ni **kigezo**—mfano wa kuelezea wa rasilimali za AWS zinazotakiwa. Mara kigezo hiki kinapopewa, CloudFormation inawajibika kwa **ugawaji na usanidi** wa rasilimali zilizotajwa. Utaftaji huu unarahisisha usimamizi wa miundombinu ya AWS kwa ufanisi zaidi na bila makosa. ### Enumeration ```bash @@ -45,11 +45,11 @@ Katika ukurasa ufuatao unaweza kuangalia jinsi ya **kudhulumu ruhusa za cloudfor ### Post-Exploitation -Angalia kwa **siri** au taarifa nyeti katika **kigezo, vigezo & matokeo** ya kila CloudFormation +Angalia **siri** au taarifa nyeti katika **kigezo, vigezo & matokeo** ya kila CloudFormation ## Codestar -AWS CodeStar ni huduma ya kuunda, kusimamia, na kufanya kazi na miradi ya maendeleo ya programu kwenye AWS. Unaweza kuendeleza, kujenga, na kupeleka programu haraka kwenye AWS kwa mradi wa AWS CodeStar. Mradi wa AWS CodeStar unaunda na **kuunganisha huduma za AWS** kwa ajili ya mchakato wa maendeleo ya mradi wako. Kulingana na chaguo lako la kigezo cha mradi wa AWS CodeStar, mchakato huo unaweza kujumuisha udhibiti wa chanzo, ujenzi, upelekaji, seva za virtual au rasilimali zisizo na seva, na zaidi. AWS CodeStar pia **inasimamia ruhusa zinazohitajika kwa watumiaji wa mradi** (inayoitwa wanachama wa timu). +AWS CodeStar ni huduma ya kuunda, kusimamia, na kufanya kazi na miradi ya maendeleo ya programu kwenye AWS. Unaweza kuendeleza, kujenga, na kupeleka programu haraka kwenye AWS kwa mradi wa AWS CodeStar. Mradi wa AWS CodeStar unaunda na **kuunganisha huduma za AWS** kwa ajili ya zana zako za maendeleo ya mradi. Kulingana na chaguo lako la kigezo cha mradi wa AWS CodeStar, zana hiyo inaweza kujumuisha udhibiti wa chanzo, ujenzi, upelekaji, seva za virtual au rasilimali zisizo na seva, na zaidi. AWS CodeStar pia **inasimamia ruhusa zinazohitajika kwa watumiaji wa mradi** (inayoitwa wanachama wa timu). ### Enumeration ```bash @@ -70,7 +70,7 @@ Katika ukurasa ufuatao unaweza kuangalia jinsi ya **kudhulumu ruhusa za codestar ../aws-privilege-escalation/aws-codestar-privesc/ {{#endref}} -## Marejeo +## References - [https://docs.aws.amazon.com/cloudformation/](https://docs.aws.amazon.com/cloudformation/)