diff --git a/src/pentesting-cloud/azure-security/az-services/az-sql.md b/src/pentesting-cloud/azure-security/az-services/az-sql.md index 0d2f9f2e5..1ea5f563c 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-sql.md +++ b/src/pentesting-cloud/azure-security/az-services/az-sql.md @@ -4,47 +4,47 @@ ## Azure SQL -Azure SQL è una famiglia di prodotti gestiti, sicuri e intelligenti che usano il **motore di database SQL Server nel cloud Azure**. Questo significa che non devi preoccuparti dell'amministrazione fisica dei tuoi server e puoi concentrarti sulla gestione dei tuoi dati. +Azure SQL è una famiglia di prodotti gestiti, sicuri e intelligenti che utilizzano il **motore di database SQL Server nel cloud Azure**. Ciò significa che non devi preoccuparti dell'amministrazione fisica dei tuoi server e puoi concentrarti sulla gestione dei tuoi dati. -Azure SQL consiste in quattro offerte principali: +Azure SQL comprende quattro offerte principali: -1. **Azure SQL Server**: Un server è necessario per il **deployment e la gestione** dei database SQL Server. -2. **Azure SQL Database**: Questo è un servizio di database **completamente gestito**, che ti permette di ospitare database singoli nel cloud Azure. -3. **Azure SQL Managed Instance**: Questo è per deployment su scala più ampia, a livello dell'intera istanza SQL Server. -4. **Azure SQL Server on Azure VMs**: Questo è il meglio per architetture in cui vuoi **controllo sul sistema operativo **e sull'istanza SQL Server. +1. **Azure SQL Server**: è necessario un server per la **distribuzione e la gestione** dei database SQL Server. +2. **Azure SQL Database**: è un **servizio di database completamente gestito**, che consente di ospitare singoli database nel cloud Azure. +3. **Azure SQL Managed Instance**: è destinato a deployment su scala più ampia, con ambito dell'intera istanza SQL Server. +4. **Azure SQL Server su Azure VM**: è la scelta migliore per le architetture in cui desideri **il controllo sul sistema operativo **e sull'istanza SQL Server. -### SQL Server Security Features +### Funzionalità di sicurezza di SQL Server -**Network access:** +**Accesso di rete:** -- Public endpoint (può limitare l'accesso a specifiche reti). -- Private endpoints. -- È anche possibile restringere le connessioni in base ai nomi di dominio. -- È anche possibile consentire ad Azure services di accedervi (ad esempio per usare il Query editor nel portal o per permettere a una Azure VM di connettersi). -- Se un SQL Server ha *Allow Azure services and resources to access this server* impostato su "Enabled", Azure creerà automaticamente una hidden firewall rule che consente a tutto il traffico di rete proveniente da Azure di connettersi al SQL Server — incluse le risorse di qualsiasi tenant. -- Questo significa che, se ottieni credenziali SQL valide, puoi connetterti al victim Azure SQL Server da una Azure VM all'interno del tuo tenant controllato dall'attacker. [The MS docs explains this](https://learn.microsoft.com/en-us/azure/azure-sql/database/network-access-controls-overview?view=azuresql#allow-azure-services) +- Endpoint pubblico (è possibile limitare l'accesso a reti specifiche). +- Endpoint privati. +- È anche possibile limitare le connessioni in base ai nomi di dominio. +- È anche possibile consentire ai servizi Azure di accedervi (ad esempio per utilizzare l'editor Query nel portale o consentire a una Azure VM di connettersi). +- Se per un SQL Server *Allow Azure services and resources to access this server* è impostato su "Enabled", Azure crea automaticamente una regola firewall nascosta che consente a tutto il traffico di rete proveniente da Azure di connettersi al SQL Server, incluse le risorse di qualsiasi tenant. +- Ciò significa che, se ottieni credenziali SQL valide, puoi connetterti al SQL Server Azure della vittima da una Azure VM all'interno di un tenant controllato dall'attaccante. [La documentazione MS lo spiega](https://learn.microsoft.com/en-us/azure/azure-sql/database/network-access-controls-overview?view=azuresql#allow-azure-services) -**Authentication Methods:** +**Metodi di autenticazione:** -- Microsoft **Entra-only** authentication: Devi indicare i principal di Entra che avranno accesso al servizio. -- **Both SQL and Microsoft Entra** authentication: Autenticazione SQL tradizionale con username e password insieme a Microsoft Entra. -- **Only SQL** authentication: Consenti l'accesso solo tramite database users. +- Autenticazione **solo Microsoft Entra**: devi indicare le identità Entra che avranno accesso al servizio. +- Autenticazione **SQL e Microsoft Entra**: autenticazione SQL tradizionale con nome utente e password insieme a Microsoft Entra. +- Autenticazione **solo SQL**: consente l'accesso esclusivamente tramite gli utenti del database. -Nota che se è consentita qualsiasi SQL auth, è necessario indicare un admin user (username + password) e se è selezionata l'auth Entra ID è anche necessario indicare almeno un principal con accesso admin. +Nota che, se è consentita qualsiasi autenticazione SQL, è necessario indicare un utente amministratore (nome utente + password) e, se è selezionata l'autenticazione Entra ID, è inoltre necessario indicare almeno un'identità con accesso amministrativo. -**Encryption:** +**Crittografia:** -- Si chiama “Transparent data encryption” e cifra database, backup e logs at rest. -- Come sempre, per default viene usata una Azure managed key, ma potrebbe essere usata anche una customer managed encryption key (CMEK). -**Managed Identities:** +- Si chiama “Transparent data encryption” e crittografa database, backup e log quando sono inattivi. +- Come sempre, per impostazione predefinita viene utilizzata una chiave gestita da Azure, ma può essere utilizzata anche una chiave di crittografia gestita dal cliente (CMEK). +**Identità gestite:** -- È possibile assegnare system e user managed MIs. -- Usate per accedere alla encryption key (se viene usata una CMEK) e ad altri servizi dai databases. -- Per alcuni esempi dei servizi Azure che possono essere accessibili dal database, controlla [this page of the docs](https://learn.microsoft.com/en-us/sql/t-sql/statements/create-external-data-source-transact-sql) -- Se viene assegnata più di una UMI, è possibile indicare quella di default da usare. -- È possibile configurare una federated client identity per l'accesso cross-tenant. +- È possibile assegnare MI gestite dal sistema e dall'utente. +- Vengono utilizzate per accedere alla chiave di crittografia (se viene utilizzata una CMEK) e ad altri servizi dai database. +- Per alcuni esempi di servizi Azure a cui è possibile accedere dal database, consulta [questa pagina della documentazione](https://learn.microsoft.com/en-us/sql/t-sql/statements/create-external-data-source-transact-sql) +- Se viene assegnata più di una UMI, è possibile indicare quella predefinita da utilizzare. +- È possibile configurare un'identità client federata per l'accesso cross-tenant. -Alcuni comandi per accedere alle info dentro una blob storage da un SQL database: +Alcuni comandi per accedere alle informazioni all'interno di un Blob Storage da un database SQL: ```sql -- Create a credential for the managed identity CREATE DATABASE SCOPED CREDENTIAL [ManagedIdentityCredential] @@ -71,58 +71,58 @@ GO ``` **Microsoft Defender:** -- Useful for “mitigating potential database vulnerabilities, and detecting anomalous activities” -- We will talk about Defender in its own lesson (it can be enabled in several other Azure services) +- Utile per “mitigare potenziali vulnerabilità dei database e rilevare attività anomale” +- Parleremo di Defender in una lezione dedicata (può essere abilitato in diversi altri Azure services) **Backups:** -- La frequenza dei backup è gestita nelle policy di retention. +- La frequenza dei backup è gestita nelle retention policies. **Deleted databases:** -- È possibile ripristinare DB che sono stati eliminati da backup esistenti. +- È possibile ripristinare i DB eliminati dai backup esistenti. ## Azure SQL Database -**Azure SQL Database** is a **fully managed database platform as a service (PaaS)** che offre soluzioni di database relazionali scalabili e sicure. È costruito sulle più recenti tecnologie SQL Server ed elimina la necessità di gestire l'infrastruttura, rendendolo una scelta popolare per applicazioni cloud-based. +**Azure SQL Database** è una **piattaforma di database completamente gestita come servizio (PaaS)** che fornisce soluzioni di database relazionali scalabili e sicure. È basato sulle tecnologie SQL Server più recenti ed elimina la necessità di gestire l'infrastruttura, rendendolo una scelta popolare per le applicazioni basate sul cloud. -Per creare un SQL database è necessario indicare il SQL server in cui verrà ospitato. +Per creare un database SQL è necessario indicare il SQL server su cui verrà ospitato. ### SQL Database Security Features -- **Always Up-to-Date**: Esegue l'ultima versione stabile di SQL Server e riceve automaticamente nuove funzionalità e patch. +- **Always Up-to-Date**: Esegue la versione stabile più recente di SQL Server e riceve automaticamente nuove funzionalità e patch. - **Inherited SQL Server security features:** -- Authentication (SQL and/or Entra ID) -- Assigned Managed Identities -- Network restrictions -- Encryption -- Backups +- Autenticazione (SQL e/o Entra ID) +- Managed Identities assegnate +- Restrizioni di rete +- Crittografia +- Backup - … -- **Data redundancy:** Le opzioni sono local, zone, Geo o Geo-Zone redundant. -- **Ledger:** Verifica crittograficamente l'integrità dei dati, garantendo che qualsiasi manomissione venga rilevata. Utile per organizzazioni finanziarie, mediche e qualsiasi organizzazione che gestisce dati sensibili. +- **Data redundancy:** Le opzioni sono ridondanza locale, di zona, Geo o Geo-Zone. +- **Ledger:** Verifica crittograficamente l'integrità dei dati, assicurando che qualsiasi manomissione venga rilevata. Utile per organizzazioni finanziarie, mediche e per qualsiasi organizzazione che gestisca dati sensibili. -Un SQL database potrebbe far parte di un **elastic Pool**. Gli elastic pools sono una soluzione conveniente per gestire più database condividendo risorse di compute configurabili (eDTUs) e storage tra di essi, con un pricing basato solo sulle risorse allocate e non sul numero di database. +Un database SQL può far parte di un **Elastic Pool**. Gli Elastic Pool sono una soluzione conveniente per gestire più database condividendo tra loro risorse di calcolo configurabili (eDTU) e risorse di storage, con un prezzo basato esclusivamente sulle risorse allocate e non sul numero di database. #### Azure SQL Column Level Security (Masking) & Row Level Security -**Azure SQL's dynamic** data masking è una feature che aiuta a **proteggere le informazioni sensibili nascondendole** agli utenti non autorizzati. Invece di alterare i dati reali, maschera dinamicamente i dati mostrati, garantendo che dettagli sensibili come i numeri di carta di credito siano oscurati. +Il **dynamic** data masking di **Azure SQL** è una funzionalità che aiuta a **proteggere le informazioni sensibili nascondendole** agli utenti non autorizzati. Invece di modificare i dati effettivi, applica dinamicamente il masking ai dati visualizzati, assicurando che dettagli sensibili come i numeri delle carte di credito siano oscurati. -Il **Dynamic Data Masking** influisce su tutti gli utenti tranne quelli che sono unmasked (questi utenti devono essere indicati) e gli amministratori. Ha l'opzione di configurazione che specifica quali utenti SQL sono esenti dal dynamic data masking, con **gli amministratori sempre esclusi**. +Il **Dynamic Data Masking** si applica a tutti gli utenti tranne a quelli esclusi dal masking (questi utenti devono essere indicati) e agli amministratori. Dispone di un'opzione di configurazione che specifica quali utenti SQL sono esentati dal dynamic data masking, con gli **amministratori sempre esclusi**. -**Azure SQL Row Level Security (RLS)** è una feature che **controlla quali righe un utente può visualizzare o modificare**, garantendo che ogni utente veda solo i dati rilevanti per lui. Creando security policies con filter o block predicates, le organizzazioni possono applicare un access a granularità fine a livello di database. +**Azure SQL Row Level Security (RLS)** è una funzionalità che **controlla quali righe un utente può visualizzare o modificare**, assicurando che ogni utente visualizzi solo i dati a lui pertinenti. Creando security policies con filter o block predicates, le organizzazioni possono applicare un accesso granulare a livello di database. ### Azure SQL Managed Instance -**Azure SQL Managed Instances** sono pensate per deployment su larga scala, scoped a una intera istanza SQL Server. Offrono una compatibilità vicina al 100% con il più recente SQL Server on-premises (Enterprise Edition) Database Engine, che fornisce una implementazione nativa di virtual network (VNet) che affronta le comuni preoccupazioni di sicurezza, e un modello di business favorevole per i clienti SQL Server on-premises. +Le **Azure SQL Managed Instances** sono destinate a deployment su larga scala con ambito sull'intera istanza SQL Server. Forniscono una compatibilità quasi del 100% con il Database Engine dell'ultima versione di SQL Server on-premises (Enterprise Edition), includendo un'implementazione nativa della rete virtuale (VNet) che affronta le problematiche di sicurezza comuni e un modello di business vantaggioso per i clienti SQL Server on-premises. ### Azure SQL Virtual Machines -**Azure SQL Virtual Machines** permettono di **controllare il sistema operativo** e l'istanza SQL Server, poiché una VM verrà spawn nel servizio VM eseguendo il SQL server. +Le **Azure SQL Virtual Machines** consentono di **controllare il sistema operativo** e l'istanza SQL Server, poiché nel servizio VM verrà creata una VM che esegue il SQL server. Quando viene creata una SQL Virtual Machine è possibile **selezionare tutte le impostazioni della VM** (come mostrato nella lezione sulle VM) che ospiterà il SQL server. -- Questo significa che la VM accederà a una o più VNet, potrebbe avere **Managed Identities attached** a essa, potrebbe avere file shares montate… rendendo un **pivoting from the SQL** alla VM super interessante. -- Inoltre, è possibile configurare un app id e un secret per **permettere al SQL di accedere a uno specifico key vault**, che potrebbe contenere informazioni sensibili. +- Ciò significa che la VM accederà ad alcune VNet, potrebbe avere **Managed Identities collegate** e potrebbe avere file share montate… rendendo un **pivoting dal SQL** alla VM molto interessante. +- Inoltre, è possibile configurare un app id e un secret per **consentire al SQL di accedere a uno specifico key vault**, che potrebbe contenere informazioni sensibili. -È anche possibile configurare cose come **automatic SQL updates**, **automatic backups**, **Entra ID authentication** e la maggior parte delle feature degli altri servizi SQL. +È inoltre possibile configurare funzionalità come **automatic SQL updates**, **automatic backups**, **Entra ID authentication** e la maggior parte delle funzionalità degli altri SQL services. ## Enumeration @@ -261,7 +261,7 @@ Get-AzSqlVM {{#endtab}} {{#endtabs}} -Inoltre, se vuoi enumerare i Dynamic Data Masking e le policy Row Level all'interno del database, puoi eseguire la query: +Inoltre, se vuoi enumerare le policy di Dynamic Data Masking e Row Level all'interno del database, puoi eseguire una query: ```sql --Enumerates the masked columns SELECT @@ -288,7 +288,7 @@ ON sp.object_id = sp2.object_id; ``` ### Connettersi ed eseguire query SQL -Potresti trovare una stringa di connessione (contenente credenziali) dall'esempio [enumerating an Az WebApp](az-app-services.md): +Potresti trovare una stringa di connessione (contenente credenziali) durante l'enumerazione di un Az WebApp: ```bash function invoke-sql{ param($query) @@ -307,11 +307,11 @@ $Connection.Close() invoke-sql 'Select Distinct TABLE_NAME From information_schema.TABLES;' ``` -Puoi anche usare sqlcmd per accedere al database. È importante sapere se il server consente connessioni pubbliche `az sql server show --name --resource-group `, e anche se la regola del firewall permette al nostro IP di accedere: +Puoi anche usare sqlcmd per accedere al database. È importante sapere se il server consente connessioni pubbliche `az sql server show --name --resource-group `, e anche se la regola del firewall consente al nostro IP di accedere: ```bash sqlcmd -S .database.windows.net -U -P -d ``` -## References +## Riferimenti - [https://learn.microsoft.com/en-us/azure/azure-sql/azure-sql-iaas-vs-paas-what-is-overview?view=azuresql](https://learn.microsoft.com/en-us/azure/azure-sql/azure-sql-iaas-vs-paas-what-is-overview?view=azuresql) - [https://learn.microsoft.com/en-us/azure/azure-sql/database/single-database-overview?view=azuresql](https://learn.microsoft.com/en-us/azure/azure-sql/database/single-database-overview?view=azuresql) diff --git a/src/pentesting-cloud/azure-security/az-services/az-storage.md b/src/pentesting-cloud/azure-security/az-services/az-storage.md index e4605728d..1cff27a4d 100644 --- a/src/pentesting-cloud/azure-security/az-services/az-storage.md +++ b/src/pentesting-cloud/azure-security/az-services/az-storage.md @@ -1,57 +1,57 @@ -# Az - Storage Accounts & Blobs +# Az - Storage Accounts e Blobs {{#include ../../../banners/hacktricks-training.md}} ## Informazioni di base -Azure Storage Accounts sono servizi fondamentali in Microsoft Azure che forniscono cloud **storage scalabile, sicuro e altamente disponibile per vari tipi di dati**, inclusi blobs (binary large objects), files, queues e tables. Funzionano come contenitori che raggruppano insieme questi diversi storage services sotto un unico namespace per una facile gestione. +Gli Azure Storage Accounts sono servizi fondamentali di Microsoft Azure che forniscono **storage cloud scalabile, sicuro e ad alta disponibilità per vari tipi di dati**, inclusi blob (binary large objects), file, code e tabelle. Servono come contenitori che raggruppano questi diversi servizi di storage sotto un singolo namespace per semplificarne la gestione. -**Opzioni principali di configurazione**: +**Principali opzioni di configurazione**: - Ogni storage account deve avere un **nome univoco in tutto Azure**. -- Ogni storage account viene distribuito in una **region** o in una Azure extended zone -- È possibile selezionare la versione **premium** dello storage account per prestazioni migliori -- È possibile scegliere tra **4 tipi di redundancy per proteggersi** da failure di rack, drive e datacenter. +- Ogni storage account viene distribuito in una **regione** o in una Azure extended zone. +- È possibile selezionare la versione **premium** dello storage account per ottenere prestazioni migliori. +- È possibile scegliere tra **4 tipi di ridondanza per proteggere** da **failure** di rack, drive e datacenter. **Opzioni di configurazione della sicurezza**: -- **Require secure transfer for REST API operations**: Richiede TLS in qualsiasi comunicazione con lo storage -- **Allows enabling anonymous access on individual containers**: In caso contrario, non sarà possibile abilitare l'anonimous access in futuro -- **Enable storage account key access**: In caso contrario, l'accesso con Shared Keys sarà vietato +- **Require secure transfer for REST API operations**: richiede TLS per qualsiasi comunicazione con lo storage. +- **Allows enabling anonymous access on individual containers**: se disabilitato, non sarà possibile abilitare l'accesso anonimo in futuro. +- **Enable storage account key access**: se disabilitato, l'accesso con Shared Keys sarà vietato. - **Minimum TLS version** -- **Permitted scope for copy operations**: Consenti da qualsiasi storage account, da qualsiasi storage account dello stesso tenant Entra o da storage account con private endpoints nella stessa virtual network. +- **Permitted scope for copy operations**: consente operazioni da qualsiasi storage account, da qualsiasi storage account dello stesso Entra tenant oppure da uno storage account con private endpoints nella stessa virtual network. **Opzioni di Blob Storage**: - **Allow cross-tenant replication** -- **Access tier**: Hot (dati accessati frequentemente), Cool e Cold (raramente accessati) +- **Access tier**: Hot (dati ad accesso frequente), Cool e Cold (dati consultati raramente). -**Opzioni di networking**: +**Opzioni di rete**: - **Network access**: -- Consenti da tutte le network -- Consenti da selezionate virtual networks e indirizzi IP -- Disabilita l'accesso pubblico e usa l'accesso privato -- **Private endpoints**: Consente una connessione privata allo storage account da una virtual network +- Consenti da tutte le reti. +- Consenti dalle virtual network e dagli indirizzi IP selezionati. +- Disabilita l'accesso pubblico e utilizza l'accesso privato. +- **Private endpoints**: consente una connessione privata allo storage account da una virtual network. **Opzioni di protezione dei dati**: -- **Point-in-time restore for containers**: Consente di ripristinare i containers a uno stato precedente +- **Point-in-time restore for containers**: consente di ripristinare i container a uno stato precedente. - Richiede che versioning, change feed e blob soft delete siano abilitati. -- **Enable soft delete for blobs**: Abilita un retention period in giorni per i blobs eliminati (anche sovrascritti) -- **Enable soft delete for containers**: Abilita un retention period in giorni per i containers eliminati -- **Enable soft delete for file shares**: Abilita un retention period in giorni per i file shared eliminati -- **Enable versioning for blobs**: Mantiene le versioni precedenti dei tuoi blobs -- **Enable blob change feed**: Mantiene i log delle modifiche di create, modification e delete ai blobs -- **Enable version-level immutability support**: Consente di impostare una retention policy basata sul tempo a livello di account che si applicherà a tutte le versioni dei blob. -- Version-level immutability support e point-in-time restore for containers non possono essere abilitati simultaneamente. +- **Enable soft delete for blobs**: abilita un periodo di conservazione in giorni per i blob eliminati (anche quelli sovrascritti). +- **Enable soft delete for containers**: abilita un periodo di conservazione in giorni per i container eliminati. +- **Enable soft delete for file shares**: abilita un periodo di conservazione in giorni per le file share eliminate. +- **Enable versioning for blobs**: mantiene le versioni precedenti dei blob. +- **Enable blob change feed**: conserva i log delle modifiche di creazione, modifica ed eliminazione dei blob. +- **Enable version-level immutability support**: consente di impostare una retention policy basata sul tempo a livello di account, che verrà applicata a tutte le versioni dei blob. +- Il supporto all'immutabilità a livello di versione e il point-in-time restore per i container non possono essere abilitati contemporaneamente. **Opzioni di configurazione della crittografia**: -- **Encryption type**: È possibile usare Microsoft-managed keys (MMK) o Customer-managed keys (CMK) -- **Enable infrastructure encryption**: Consente di doppiare la crittografia dei dati "for more security" +- **Encryption type**: è possibile utilizzare chiavi gestite da Microsoft (MMK) o chiavi gestite dal cliente (CMK). +- **Enable infrastructure encryption**: consente di crittografare due volte i dati «per una maggiore sicurezza». -### Storage endpoints +### Endpoint di storage | Storage Service | Endpoint | | --- | --- | @@ -64,19 +64,19 @@ Azure Storage Accounts sono servizi fondamentali in Microsoft Azure che fornisco ### Esposizione pubblica -Se "Allow Blob public access" è **abilitato** (disabilitato per default), quando si crea un container è possibile: +Se **Allow Blob public access** è **abilitato** (disabilitato per impostazione predefinita), quando si crea un container è possibile: -- Dare **accesso pubblico per leggere i blobs** (devi conoscere il nome). -- **List container blobs** e **leggerli**. -- Renderlo completamente **privato** +- Fornire **accesso pubblico alla lettura dei blob** (è necessario conoscerne il nome). +- **Elencare i blob del container** e **leggerli**. +- Renderlo completamente **privato**.
-### Esposizione del sito statico (`$web`) e secrets leaked +### Esposizione del sito statico (`$web`) e secrets esposti -- I **siti statici** vengono serviti dal container speciale `$web` tramite un endpoint specifico per region come `https://.z13.web.core.windows.net/`. -- Il container `$web` può riportare `publicAccess: null` tramite la blob API, ma i file restano comunque raggiungibili attraverso l'endpoint del sito statico, quindi lasciare lì artifact di configurazione/IaC può leak secrets. -- Flusso rapido di audit: +- I **siti statici** vengono forniti dal container speciale `$web` tramite un endpoint specifico della regione, come `https://.z13.web.core.windows.net/`. +- Il container `$web` può restituire `publicAccess: null` tramite la blob API, ma i file sono comunque raggiungibili tramite l'endpoint del sito statico; pertanto, inserire lì artefatti di configurazione/IaC può causare il leak di secrets. +- Workflow di audit rapido: ```bash # Identify storage accounts with static website hosting enabled az storage blob service-properties show --account-name --auth-mode login @@ -87,19 +87,19 @@ az storage blob list --container-name '$web' --account-name --auth-mo # Pull suspicious files directly (e.g., IaC tfvars containing secrets/SAS) az storage blob download -c '$web' --name iac/terraform.tfvars --file /dev/stdout --account-name --auth-mode login ``` -### Auditare l'esposizione anonima dei blob +### Auditing dell'esposizione anonima dei blob -- **Individua gli storage account** che possono esporre dati: `az storage account list | jq -r '.[] | select(.properties.allowBlobPublicAccess==true) | .name'`. Se `allowBlobPublicAccess` è `false` non puoi rendere i container public. +- **Individua gli account di storage** che possono esporre dati: `az storage account list | jq -r '.[] | select(.properties.allowBlobPublicAccess==true) | .name'`. Se `allowBlobPublicAccess` è `false`, non puoi rendere pubblici i container. - **Ispeziona gli account a rischio** per confermare il flag e altre impostazioni deboli: `az storage account show --name --query '{allow:properties.allowBlobPublicAccess, minTls:properties.minimumTlsVersion}'`. -- **Enumera l'esposizione a livello di container** dove il flag è abilitato:** +- **Enumera l'esposizione a livello di container** quando il flag è abilitato: ```bash az storage container list --account-name \ --query '[].{name:name, access:properties.publicAccess}' ``` - `"Blob"`: letture anonime consentite **solo quando il nome del blob è noto** (nessun listing). -- `"Container"`: **list + read** anonimi di ogni blob. +- `"Container"`: **listing + lettura** anonimi di ogni blob. - `null`: privato; autenticazione richiesta. -- **Dimostra l'accesso** senza credenziali: +- **Dimostrare l'accesso** senza credenziali: - Se `publicAccess` è `Container`, il listing anonimo funziona: `curl "https://.blob.core.windows.net/?restype=container&comp=list"`. - Sia per `Blob` che per `Container`, il download anonimo del blob funziona quando il nome è noto: ```bash @@ -107,33 +107,33 @@ az storage blob download -c -n --account-name --file /d # or via raw HTTP curl "https://.blob.core.windows.net//" ``` -### Connect to Storage +### Connessione allo Storage Se trovi uno **storage** a cui puoi connetterti, puoi usare lo strumento [**Microsoft Azure Storage Explorer**](https://azure.microsoft.com/es-es/products/storage/storage-explorer/) per farlo. -## Access to Storage +## Accesso allo Storage ### RBAC -È possibile usare i principal di Entra ID con i **RBAC roles** per accedere agli storage account ed è il metodo consigliato. +È possibile usare le identità di Entra ID con **ruoli RBAC** per accedere agli account di storage, ed è il metodo consigliato. -### Access Keys +### Chiavi di accesso -Gli storage account hanno access keys che possono essere usate per accedervi. Questo fornisce f**ull access to the storage account.** +Gli account di storage dispongono di chiavi di accesso che possono essere usate per accedervi. Questo fornisce **accesso completo all'account di storage.**
-### **Shared Keys & Lite Shared Keys** +### **Shared Keys e Lite Shared Keys** -È possibile [**generate Shared Keys**](https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-shared-key) firmate con le access keys per autorizzare l'accesso a determinate risorse tramite una signed URL. +È possibile [**generare Shared Keys**](https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-shared-key) firmate con le chiavi di accesso per autorizzare l'accesso a determinate risorse tramite una signed URL. > [!NOTE] -> Nota che la parte `CanonicalizedResource` rappresenta la risorsa dei storage services (URI). E se una parte nella URL è encoded, deve essere encoded anche all'interno di `CanonicalizedResource`. +> Nota che la parte `CanonicalizedResource` rappresenta la risorsa dei servizi di storage (URI). Inoltre, se una parte dell'URL è codificata, deve essere codificata anche all'interno di `CanonicalizedResource`. > [!NOTE] -> Questo viene **used by default by `az` cli** per autenticare le richieste. Per far sì che usi le credenziali del principal di Entra ID indica il parametro `--auth-mode login`. +> Questo viene **usato per impostazione predefinita da `az` cli** per autenticare le richieste. Per fare in modo che utilizzi le credenziali dell'identità di Entra ID, indica il parametro `--auth-mode login`. -- È possibile generate una **shared key for blob, queue and file services** firmando le seguenti informazioni: +- È possibile generare una **shared key per i servizi blob, queue e file** firmando le seguenti informazioni: ```bash StringToSign = VERB + "\n" + Content-Encoding + "\n" + @@ -150,7 +150,7 @@ Range + "\n" + CanonicalizedHeaders + CanonicalizedResource; ``` -- È possibile generare una **shared key per table services** firmando le seguenti informazioni: +- È possibile generare una **chiave condivisa per i table services** firmando le seguenti informazioni: ```bash StringToSign = VERB + "\n" + Content-MD5 + "\n" + @@ -158,7 +158,7 @@ Content-Type + "\n" + Date + "\n" + CanonicalizedResource; ``` -- È possibile generare una **lite shared key for blob, queue and file services** firmando le seguenti informazioni: +- È possibile generare una **lite shared key per i servizi blob, queue e file** firmando le seguenti informazioni: ```bash StringToSign = VERB + "\n" + Content-MD5 + "\n" + @@ -167,12 +167,12 @@ Date + "\n" + CanonicalizedHeaders + CanonicalizedResource; ``` -- È possibile generare una **lite shared key for table services** firmando le seguenti informazioni: +- È possibile generare una **lite shared key per i table services** firmando le seguenti informazioni: ```bash StringToSign = Date + "\n" CanonicalizedResource ``` -Poi, per usare la key, si può fare nell'Authorization header seguendo la sintassi: +Quindi, per usare la chiave, è possibile farlo nell'header Authorization seguendo la sintassi: ```bash Authorization="[SharedKey|SharedKeyLite] :" #e.g. @@ -186,68 +186,68 @@ Content-Length: 0 ``` ### **Shared Access Signature** (SAS) -Shared Access Signatures (SAS) sono URL sicuri e a tempo limitato che **concedono permessi specifici per accedere a risorse** in un Azure Storage account senza esporre le access keys dell'account. Mentre le access keys forniscono accesso amministrativo completo a tutte le risorse, SAS consente un controllo granulare specificando i permessi (come read o write) e definendo un tempo di scadenza. +Le Shared Access Signatures (SAS) sono URL sicuri e limitati nel tempo che **concedono autorizzazioni specifiche per accedere alle risorse** in un account Azure Storage senza esporre le access keys dell'account. Mentre le access keys forniscono accesso amministrativo completo a tutte le risorse, SAS consente un controllo granulare specificando le autorizzazioni (come read o write) e definendo un tempo di scadenza. -#### SAS Types +#### Tipi di SAS -- **User delegation SAS**: Viene creato da un **Entra ID principal** che firmerà il SAS e delegherà i permessi dall'utente al SAS. Può essere usato solo con **blob and data lake storage** ([docs](https://learn.microsoft.com/en-us/rest/api/storageservices/create-user-delegation-sas)). È possibile **revocare** tutti i user delegated SAS generati. -- Anche se è possibile generare un delegation SAS con "più" permessi di quelli dell'utente. Tuttavia, se il principal non li ha, non funzionerà (no privesc). -- **Service SAS**: È firmato usando una delle **access keys** dello storage account. Può essere usato per concedere accesso a risorse specifiche in un singolo storage service. Se la key viene rinnovata, il SAS smetterà di funzionare. -- **Account SAS**: È anch'esso firmato con una delle **access keys** dello storage account. Concede accesso a risorse attraverso i servizi di uno storage account (Blob, Queue, Table, File) e può includere operazioni a livello di service. +- **User delegation SAS**: viene creato da un **principal Entra ID** che firmerà il SAS e delegherà le autorizzazioni dall'utente al SAS. Può essere utilizzato solo con **blob e data lake storage** ([docs](https://learn.microsoft.com/en-us/rest/api/storageservices/create-user-delegation-sas)). È possibile **revocare** tutti gli user delegated SAS generati. +- Anche se è possibile generare un delegation SAS con "più" autorizzazioni rispetto a quelle possedute dall'utente, se il principal non dispone di tali autorizzazioni, il SAS non funzionerà (nessun privesc). +- **Service SAS**: viene firmato utilizzando una delle **access keys** dell'account di storage. Può essere utilizzato per concedere l'accesso a risorse specifiche all'interno di un singolo servizio di storage. Se la key viene rinnovata, il SAS smetterà di funzionare. +- **Account SAS**: viene anch'esso firmato con una delle **access keys** dell'account di storage. Concede l'accesso alle risorse tra i servizi di un account di storage (Blob, Queue, Table, File) e può includere operazioni a livello di servizio. -Un SAS URL firmato da una **access key** appare così: +Un SAS URL firmato da una **access key** ha il seguente aspetto: - `https://.blob.core.windows.net/newcontainer?sp=r&st=2021-09-26T18:15:21Z&se=2021-10-27T02:14:21Z&spr=https&sv=2021-07-08&sr=c&sig=7S%2BZySOgy4aA3Dk0V1cJyTSIf1cW%2Fu3WFkhHV32%2B4PE%3D` -Un SAS URL firmato come **user delegation** appare così: +Un SAS URL firmato come **user delegation** ha il seguente aspetto: - `https://.blob.core.windows.net/testing-container?sp=r&st=2024-11-22T15:07:40Z&se=2024-11-22T23:07:40Z&skoid=d77c71a1-96e7-483d-bd51-bd753aa66e62&sktid=fdd066e1-ee37-49bc-b08f-d0e152119b04&skt=2024-11-22T15:07:40Z&ske=2024-11-22T23:07:40Z&sks=b&skv=2022-11-02&spr=https&sv=2022-11-02&sr=c&sig=7s5dJyeE6klUNRulUj9TNL0tMj2K7mtxyRc97xbYDqs%3D` -Nota alcuni **http params**: +Notare alcuni **parametri http**: - Il parametro **`se`** indica la **data di scadenza** del SAS -- Il parametro **`sp`** indica i **permessi** del SAS -- Il **`sig`** è la **signature** che valida il SAS +- Il parametro **`sp`** indica le **autorizzazioni** del SAS +- **`sig`** è la **firma** che convalida il SAS -#### SAS permissions +#### Autorizzazioni SAS -Quando si genera un SAS è necessario indicare i permessi che deve concedere. A seconda dell'oggetto su cui viene generato il SAS, possono essere inclusi permessi diversi. Per esempio: +Quando si genera un SAS è necessario indicare le autorizzazioni che deve concedere. A seconda dell'oggetto su cui viene generato il SAS, possono essere incluse autorizzazioni diverse. Ad esempio: - (a)dd, (c)reate, (d)elete, (e)xecute, (f)ilter_by_tags, (i)set_immutability_policy, (l)ist, (m)ove, (r)ead, (t)ag, (w)rite, (x)delete_previous_version, (y)permanent_delete -## SFTP Support for Azure Blob Storage +## Supporto SFTP per Azure Blob Storage -Azure Blob Storage ora supporta lo SSH File Transfer Protocol (SFTP), consentendo il transfer sicuro dei file e la gestione direttamente su Blob Storage senza richiedere soluzioni custom o prodotti di terze parti. +Azure Blob Storage ora supporta lo SSH File Transfer Protocol (SFTP), consentendo il trasferimento e la gestione sicuri dei file direttamente in Blob Storage senza richiedere soluzioni personalizzate o prodotti di terze parti. -### Key Features +### Funzionalità principali -- Protocol Support: SFTP funziona con Blob Storage accounts configurati con hierarchical namespace (HNS). Questo organizza i blob in directory e sottodirectory per una navigazione più semplice. -- Security: SFTP può usare identità di local user, ma supporta anche accesso basato su Microsoft Entra ID con Azure RBAC per l'autorizzazione. Questo significa che l'accesso può essere concesso con i normali Blob Storage data-plane roles invece di creare local SFTP users. I local users possono autenticarsi tramite: -- Azure-generated passwords -- Public-private SSH key pairs -- Granular Permissions: Permessi come Read, Write, Delete e List possono essere assegnati ai local users per fino a 100 containers. -- Networking Considerations: Le connessioni SFTP vengono effettuate tramite la porta 22. Azure supporta configurazioni di rete come firewalls, private endpoints o virtual networks per proteggere il traffico SFTP. +- Supporto del protocollo: SFTP funziona con gli account Blob Storage configurati con hierarchical namespace (HNS). Questo organizza i blob in directory e sottodirectory per semplificare la navigazione. +- Sicurezza: SFTP può utilizzare identità di utenti locali, ma supporta anche l'accesso basato su Microsoft Entra ID con Azure RBAC per l'autorizzazione. Ciò significa che l'accesso può essere concesso utilizzando i consueti ruoli data-plane di Blob Storage invece di creare utenti SFTP locali. Gli utenti locali possono autenticarsi tramite: +- Password generate da Azure +- Coppie di chiavi SSH pubblica-privata +- Autorizzazioni granulari: autorizzazioni come Read, Write, Delete e List possono essere assegnate agli utenti locali per un massimo di 100 container. +- Considerazioni di networking: le connessioni SFTP vengono effettuate tramite la porta 22. Azure supporta configurazioni di rete come firewall, private endpoint o virtual network per proteggere il traffico SFTP. -### Setup Requirements +### Requisiti di configurazione -- Hierarchical Namespace: HNS deve essere abilitato quando si crea lo storage account. -- Supported Encryption: Richiede algoritmi crittografici approvati dal Microsoft Security Development Lifecycle (SDL) (ad esempio, rsa-sha2-256, ecdsa-sha2-nistp256). -- SFTP Configuration: -- Abilita SFTP sullo storage account. -- Per l'accesso local-user, crea local user identities con i permessi appropriati. -- Per i local users, configura home directories per definire la loro posizione iniziale all'interno del container. +- Hierarchical Namespace: HNS deve essere abilitato durante la creazione dell'account di storage. +- Crittografia supportata: richiede algoritmi crittografici approvati dal Microsoft Security Development Lifecycle (SDL) (ad esempio, rsa-sha2-256, ecdsa-sha2-nistp256). +- Configurazione SFTP: +- Abilitare SFTP sull'account di storage. +- Per l'accesso tramite utenti locali, creare identità di utenti locali con le autorizzazioni appropriate. +- Per gli utenti locali, configurare le home directory per definire la posizione iniziale all'interno del container. -### Permissions +### Autorizzazioni -| Permission | Symbol | Description | +| Autorizzazione | Simbolo | Descrizione | | ---------------------- | ------ | ------------------------------------ | -| **Read** | `r` | Leggere il contenuto del file. | -| **Write** | `w` | Caricare file e creare directory. | +| **Read** | `r` | Leggere il contenuto dei file. | +| **Write** | `w` | Caricare file e creare directory. | | **List** | `l` | Elencare il contenuto delle directory. | -| **Delete** | `d` | Eliminare file o directory. | -| **Create** | `c` | Creare file o directory. | -| **Modify Ownership** | `o` | Cambiare l'utente o il gruppo proprietario. | -| **Modify Permissions** | `p` | Cambiare gli ACL su file o directory. | +| **Delete** | `d` | Eliminare file o directory. | +| **Create** | `c` | Creare file o directory. | +| **Modify Ownership** | `o` | Modificare l'utente o il gruppo proprietario. | +| **Modify Permissions** | `p` | Modificare gli ACL su file o directory. | ## Enumeration @@ -379,7 +379,7 @@ az storage account local-user list \ {{#tab name="Az PowerShell" }}
-Enumerazione Az PowerShell +Enumerazione di Az PowerShell ```powershell # Get storage accounts Get-AzStorageAccount | fl @@ -454,13 +454,13 @@ az-file-shares.md ../az-privilege-escalation/az-storage-privesc.md {{#endref}} -## Post Exploitation +## Post-exploitation {{#ref}} ../az-post-exploitation/az-blob-storage-post-exploitation.md {{#endref}} -## Persistence +## Persistenza {{#ref}} ../az-persistence/az-storage-persistence.md