mirror of
https://github.com/HackTricks-wiki/hacktricks-cloud.git
synced 2026-01-01 15:35:51 -08:00
Translated ['src/pentesting-ci-cd/ansible-tower-awx-automation-controlle
This commit is contained in:
Translator
@@ -1,53 +1,51 @@
|
||||
# AWS - ECR Enum
|
||||
|
||||
## AWS - ECR Enum
|
||||
|
||||
{{#include ../../../banners/hacktricks-training.md}}
|
||||
|
||||
### ECR
|
||||
## ECR
|
||||
|
||||
#### Основна інформація
|
||||
### Основна інформація
|
||||
|
||||
Amazon **Elastic Container Registry** (Amazon ECR) є **керованою службою реєстрації контейнерних зображень**. Вона призначена для забезпечення середовища, в якому клієнти можуть взаємодіяти зі своїми контейнерними зображеннями, використовуючи відомі інтерфейси. Зокрема, підтримується використання Docker CLI або будь-якого іншого улюбленого клієнта, що дозволяє виконувати такі дії, як завантаження, вивантаження та управління контейнерними зображеннями.
|
||||
Amazon **Elastic Container Registry** (Amazon ECR) - це **керована служба реєстрації контейнерних зображень**. Вона призначена для забезпечення середовища, в якому клієнти можуть взаємодіяти зі своїми контейнерними зображеннями, використовуючи відомі інтерфейси. Зокрема, підтримується використання Docker CLI або будь-якого іншого улюбленого клієнта, що дозволяє виконувати такі дії, як завантаження, вивантаження та управління контейнерними зображеннями.
|
||||
|
||||
ECR складається з 2 типів об'єктів: **Реєстрації** та **Репозиторії**.
|
||||
ECR складається з 2 типів об'єктів: **Реєстри** та **Репозиторії**.
|
||||
|
||||
**Реєстрації**
|
||||
**Реєстри**
|
||||
|
||||
Кожен обліковий запис AWS має 2 реєстрації: **Приватні** та **Публічні**.
|
||||
Кожен обліковий запис AWS має 2 реєстри: **Приватний** та **Публічний**.
|
||||
|
||||
1. **Приватні реєстрації**:
|
||||
1. **Приватні реєстри**:
|
||||
|
||||
- **Приватні за замовчуванням**: Контейнерні зображення, збережені в приватній реєстрації Amazon ECR, **доступні лише авторизованим користувачам** у вашому обліковому записі AWS або тим, кому надано дозвіл.
|
||||
- **Приватний за замовчуванням**: Контейнерні зображення, збережені в приватному реєстрі Amazon ECR, **доступні лише авторизованим користувачам** у вашому обліковому записі AWS або тим, кому надано дозвіл.
|
||||
- URI **приватного репозиторію** має формат `<account_id>.dkr.ecr.<region>.amazonaws.com/<repo-name>`
|
||||
- **Контроль доступу**: Ви можете **контролювати доступ** до своїх приватних контейнерних зображень, використовуючи **IAM політики**, і ви можете налаштувати детальні дозволи на основі користувачів або ролей.
|
||||
- **Інтеграція з AWS службами**: Приватні реєстрації Amazon ECR можуть бути легко **інтегровані з іншими службами AWS**, такими як EKS, ECS...
|
||||
- **Інші варіанти приватних реєстрацій**:
|
||||
- Стовпець імунітету тегів вказує на його статус, якщо імунітет тегів увімкнено, це **запобігатиме** **завантаженню** зображень з **існуючими тегами**.
|
||||
- **Інтеграція з AWS сервісами**: Приватні реєстри Amazon ECR можуть бути легко **інтегровані з іншими сервісами AWS**, такими як EKS, ECS...
|
||||
- **Інші варіанти приватного реєстру**:
|
||||
- Стовпець імунітету тегів вказує на його статус, якщо імунітет тегів увімкнено, це **запобігатиме** завантаженню зображень з **існуючими тегами**.
|
||||
- Стовпець **Тип шифрування** вказує на властивості шифрування репозиторію, він показує типи шифрування за замовчуванням, такі як AES-256, або має **KMS** увімкнене шифрування.
|
||||
- Стовпець **Кешування через витяг** вказує на його статус, якщо статус кешування через витяг активний, він буде кешувати **репозиторії в зовнішньому публічному репозиторії у вашому приватному репозиторії**.
|
||||
- Стовпець **Кеш для витягування** вказує на його статус, якщо статус кешу для витягування активний, він кешуватиме **репозиторії в зовнішньому публічному репозиторії у вашому приватному репозиторії**.
|
||||
- Специфічні **IAM політики** можуть бути налаштовані для надання різних **дозволів**.
|
||||
- **Конфігурація сканування** дозволяє сканувати на вразливості в зображеннях, збережених у репозиторії.
|
||||
|
||||
2. **Публічні реєстрації**:
|
||||
2. **Публічні реєстри**:
|
||||
|
||||
- **Публічна доступність**: Контейнерні зображення, збережені в публічній реєстрації ECR, **доступні будь-кому в Інтернеті без аутентифікації.**
|
||||
- **Публічна доступність**: Контейнерні зображення, збережені в публічному реєстрі ECR, **доступні будь-кому в Інтернеті без аутентифікації.**
|
||||
- URI **публічного репозиторію** виглядає як `public.ecr.aws/<random>/<name>`. Хоча частину `<random>` адміністратор може змінити на інший рядок, який легше запам'ятати.
|
||||
|
||||
**Репозиторії**
|
||||
|
||||
Це **зображення**, які знаходяться в **приватній реєстрації** або в **публічній**.
|
||||
Це **зображення**, які знаходяться в **приватному реєстрі** або в **публічному**.
|
||||
|
||||
> [!NOTE]
|
||||
> Зверніть увагу, що для завантаження зображення в репозиторій, **репозиторій ECR повинен мати таку ж назву, як і зображення**.
|
||||
|
||||
#### Політики реєстрації та репозиторіїв
|
||||
#### Політики реєстру та репозиторію
|
||||
|
||||
**Реєстрації та репозиторії** також мають **політики, які можна використовувати для надання дозволів іншим принципалам/обліковим записам**. Наприклад, у наступній політиці репозиторію ви можете побачити, як будь-який користувач з усієї організації зможе отримати доступ до зображення:
|
||||
**Реєстри та репозиторії** також мають **політики, які можна використовувати для надання дозволів іншим принципалам/обліковим записам**. Наприклад, у наступній політиці репозиторію ви можете побачити, як будь-який користувач з усієї організації зможе отримати доступ до зображення:
|
||||
|
||||
<figure><img src="../../../images/image (280).png" alt=""><figcaption></figcaption></figure>
|
||||
|
||||
#### Перерахування
|
||||
### Перерахування
|
||||
```bash
|
||||
# Get repos
|
||||
aws ecr describe-repositories
|
||||
@@ -67,13 +65,13 @@ aws ecr-public describe-repositories
|
||||
aws ecr get-registry-policy
|
||||
aws ecr get-repository-policy --repository-name <repo_name>
|
||||
```
|
||||
#### Неавтентифіковане перерахування
|
||||
### Неавтентифіковане перерахування
|
||||
|
||||
{{#ref}}
|
||||
../aws-unauthenticated-enum-access/aws-ecr-unauthenticated-enum.md
|
||||
{{#endref}}
|
||||
|
||||
#### Підвищення привілеїв
|
||||
### Підвищення привілеїв
|
||||
|
||||
На наступній сторінці ви можете перевірити, як **зловживати дозволами ECR для підвищення привілеїв**:
|
||||
|
||||
@@ -81,13 +79,13 @@ aws ecr get-repository-policy --repository-name <repo_name>
|
||||
../aws-privilege-escalation/aws-ecr-privesc.md
|
||||
{{#endref}}
|
||||
|
||||
#### Після експлуатації
|
||||
### Після експлуатації
|
||||
|
||||
{{#ref}}
|
||||
../aws-post-exploitation/aws-ecr-post-exploitation.md
|
||||
{{#endref}}
|
||||
|
||||
#### Персистентність
|
||||
### Постійність
|
||||
|
||||
{{#ref}}
|
||||
../aws-persistence/aws-ecr-persistence.md
|
||||
|
||||
@@ -1 +1,3 @@
|
||||
# AWS - Служби безпеки та виявлення
|
||||
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
@@ -1,12 +1,10 @@
|
||||
# AWS - Inspector Enum
|
||||
|
||||
## AWS - Inspector Enum
|
||||
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
### Inspector
|
||||
## Inspector
|
||||
|
||||
Amazon Inspector - це розширена автоматизована служба управління вразливостями, розроблена для підвищення безпеки вашого середовища AWS. Ця служба постійно сканує екземпляри Amazon EC2, образи контейнерів в Amazon ECR, Amazon ECS та функції AWS Lambda на наявність вразливостей та ненавмисного мережевого впливу. Використовуючи надійну базу даних інтелекту вразливостей, Amazon Inspector надає детальні висновки, включаючи рівні серйозності та рекомендації щодо усунення, допомагаючи організаціям проактивно виявляти та усувати ризики безпеки. Цей комплексний підхід забезпечує зміцнену безпеку в різних службах AWS, сприяючи дотриманню вимог та управлінню ризиками.
|
||||
Amazon Inspector - це розширена, автоматизована служба управління вразливостями, розроблена для підвищення безпеки вашого середовища AWS. Ця служба постійно сканує екземпляри Amazon EC2, образи контейнерів в Amazon ECR, Amazon ECS та функції AWS Lambda на наявність вразливостей та ненавмисного мережевого впливу. Використовуючи надійну базу даних інтелекту вразливостей, Amazon Inspector надає детальні висновки, включаючи рівні серйозності та рекомендації щодо усунення, допомагаючи організаціям проактивно виявляти та усувати ризики безпеки. Цей комплексний підхід забезпечує зміцнену безпеку в різних службах AWS, сприяючи дотриманню вимог та управлінню ризиками.
|
||||
|
||||
### Key elements
|
||||
|
||||
@@ -30,19 +28,19 @@ Amazon Inspector - це розширена автоматизована служ
|
||||
|
||||
#### Software Bill of Materials (SBOM)
|
||||
|
||||
Програмний рахунок матеріалів (SBOM) в Amazon Inspector - це експортований вкладений список інвентаризації, що детально описує всі компоненти в межах програмного пакета, включаючи бібліотеки та залежності. SBOM допомагає забезпечити прозорість у ланцюгу постачання програмного забезпечення, що дозволяє покращити управління вразливостями та дотримання вимог. Вони є важливими для виявлення та пом'якшення ризиків, пов'язаних з компонентами програмного забезпечення з відкритим кодом та сторонніми постачальниками.
|
||||
Програмний рахунок матеріалів (SBOM) в Amazon Inspector - це експортований вкладений список інвентаризації, що детально описує всі компоненти в програмному пакеті, включаючи бібліотеки та залежності. SBOM допомагає забезпечити прозорість у ланцюгу постачання програмного забезпечення, що дозволяє краще управляти вразливостями та дотримуватися вимог. Вони є важливими для виявлення та пом'якшення ризиків, пов'язаних з компонентами програмного забезпечення з відкритим кодом та сторонніми постачальниками.
|
||||
|
||||
### Key features
|
||||
|
||||
#### Export findings
|
||||
|
||||
Amazon Inspector пропонує можливість експортувати висновки до Amazon S3 Buckets, Amazon EventBridge та AWS Security Hub, що дозволяє генерувати детальні звіти про виявлені вразливості та впливи для подальшого аналізу або обміну в конкретну дату та час. Ця функція підтримує різні формати виводу, такі як CSV та JSON, що полегшує інтеграцію з іншими інструментами та системами. Функціональність експорту дозволяє налаштувати дані, включені до звітів, дозволяючи вам фільтрувати висновки на основі конкретних критеріїв, таких як серйозність, тип ресурсу або діапазон дат, і за замовчуванням включати всі ваші висновки в поточному регіоні AWS зі статусом Active.
|
||||
Amazon Inspector пропонує можливість експортувати висновки в Amazon S3 Buckets, Amazon EventBridge та AWS Security Hub, що дозволяє вам генерувати детальні звіти про виявлені вразливості та впливи для подальшого аналізу або обміну в конкретну дату та час. Ця функція підтримує різні формати виводу, такі як CSV та JSON, що полегшує інтеграцію з іншими інструментами та системами. Функціональність експорту дозволяє налаштувати дані, включені в звіти, дозволяючи вам фільтрувати висновки на основі конкретних критеріїв, таких як серйозність, тип ресурсу або діапазон дат, і включаючи за замовчуванням всі ваші висновки в поточному регіоні AWS зі статусом Active.
|
||||
|
||||
При експорті висновків необхідний ключ служби управління ключами (KMS) для шифрування даних під час експорту. Ключі KMS забезпечують захист експортованих висновків від несанкціонованого доступу, надаючи додатковий рівень безпеки для чутливої інформації про вразливості.
|
||||
|
||||
#### Amazon EC2 instances scanning
|
||||
|
||||
Amazon Inspector пропонує надійні можливості сканування для екземплярів Amazon EC2 для виявлення вразливостей та проблем безпеки. Inspector порівнює витягнуті метадані з екземпляра EC2 з правилами з безпекових рекомендацій для виявлення вразливостей пакетів та проблем доступності мережі. Ці сканування можуть виконуватися за допомогою **агентних** або **безагентних** методів, залежно від налаштувань конфігурації **режиму сканування** вашого облікового запису.
|
||||
Amazon Inspector пропонує надійні можливості сканування для екземплярів Amazon EC2 для виявлення вразливостей та проблем безпеки. Inspector порівнює витягнуті метадані з екземпляра EC2 з правилами з безпекових рекомендацій, щоб виявити вразливості пакетів та проблеми з досяжністю мережі. Ці сканування можуть виконуватися через **агентні** або **безагентні** методи, залежно від налаштувань конфігурації **режиму сканування** вашого облікового запису.
|
||||
|
||||
- **Agent-Based**: Використовує агент AWS Systems Manager (SSM) для проведення глибоких сканувань. Цей метод дозволяє здійснювати всебічний збір та аналіз даних безпосередньо з екземпляра.
|
||||
- **Agentless**: Надає легкий альтернативний варіант, який не вимагає встановлення агента на екземплярі, створюючи знімок EBS кожного тому екземпляра EC2, шукаючи вразливості, а потім видаляючи його; використовуючи існуючу інфраструктуру AWS для сканування.
|
||||
@@ -50,9 +48,9 @@ Amazon Inspector пропонує надійні можливості скану
|
||||
Режим сканування визначає, який метод буде використано для виконання сканувань EC2:
|
||||
|
||||
- **Agent-Based**: Включає встановлення агента SSM на екземплярах EC2 для глибокої перевірки.
|
||||
- **Hybrid Scanning**: Поєднує як агентні, так і безагентні методи для максимального охоплення та мінімізації впливу на продуктивність. У тих екземплярах EC2, де встановлено агент SSM, Inspector виконає агентне сканування, а для тих, де немає агента SSM, сканування буде виконано безагентно.
|
||||
- **Hybrid Scanning**: Поєднує як агентні, так і безагентні методи для максимального охоплення та мінімізації впливу на продуктивність. У тих екземплярах EC2, де встановлено агент SSM, Inspector виконає агентне сканування, а для тих, де немає агента SSM, сканування буде безагентним.
|
||||
|
||||
Ще одна важлива функція - це **глибока перевірка** для екземплярів EC2 на базі Linux. Ця функція пропонує всебічний аналіз програмного забезпечення та конфігурації екземплярів EC2 на базі Linux, надаючи детальні оцінки вразливостей, включаючи вразливості операційної системи, вразливості додатків та неправильні налаштування, забезпечуючи всебічну оцінку безпеки. Це досягається шляхом перевірки **кастомних шляхів** та всіх їх підкаталогів. За замовчуванням Amazon Inspector сканує наступні, але кожен обліковий запис може визначити до 5 додаткових кастомних шляхів, а кожен делегований адміністратор - до 10:
|
||||
Ще одна важлива функція - це **глибока перевірка** для екземплярів EC2 Linux. Ця функція пропонує всебічний аналіз програмного забезпечення та конфігурації екземплярів EC2 Linux, надаючи детальні оцінки вразливостей, включаючи вразливості операційної системи, вразливості додатків та неправильні налаштування, забезпечуючи всебічну оцінку безпеки. Це досягається шляхом перевірки **кастомних шляхів** та всіх його підкаталогів. За замовчуванням Amazon Inspector скануватиме наступні, але кожен обліковий запис може визначити до 5 додаткових кастомних шляхів, а кожен делегований адміністратор - до 10:
|
||||
|
||||
- `/usr/lib`
|
||||
- `/usr/lib64`
|
||||
@@ -63,15 +61,15 @@ Amazon Inspector пропонує надійні можливості скану
|
||||
|
||||
Amazon Inspector надає надійні можливості сканування для образів контейнерів Amazon Elastic Container Registry (ECR), забезпечуючи виявлення та ефективне управління вразливостями пакетів.
|
||||
|
||||
- **Basic Scanning**: Це швидке та легке сканування, яке виявляє відомі вразливості ОС пакетів в образах контейнерів, використовуючи стандартний набір правил з проекту з відкритим кодом Clair. З цією конфігурацією сканування ваші репозиторії будуть скануватися при завантаженні або під час виконання ручних сканувань.
|
||||
- **Enhanced Scanning**: Ця опція додає функцію безперервного сканування на додаток до сканування при завантаженні. Розширене сканування заглиблюється в шари кожного образу контейнера, щоб виявити вразливості в пакетах ОС та в пакетах мов програмування з більшою точністю. Воно аналізує як базовий образ, так і будь-які додаткові шари, надаючи всебічний огляд потенційних проблем безпеки.
|
||||
- **Basic Scanning**: Це швидке та легке сканування, яке виявляє відомі вразливості ОС пакетів в образах контейнерів, використовуючи стандартний набір правил з відкритого проекту Clair. З цією конфігурацією сканування ваші репозиторії будуть скануватися при завантаженні або виконанні ручних сканувань.
|
||||
- **Enhanced Scanning**: Ця опція додає функцію безперервного сканування на додаток до сканування при завантаженні. Розширене сканування глибше аналізує шари кожного образу контейнера, щоб виявити вразливості в пакетах ОС та в пакетах мов програмування з більшою точністю. Воно аналізує як базовий образ, так і будь-які додаткові шари, надаючи всебічний огляд потенційних проблем безпеки.
|
||||
|
||||
#### Amazon Lambda functions scanning
|
||||
|
||||
Amazon Inspector включає всебічні можливості сканування для функцій AWS Lambda та їх шарів, забезпечуючи безпеку та цілісність безсерверних додатків. Inspector пропонує два типи сканування для функцій Lambda:
|
||||
|
||||
- **Lambda standard scanning**: Ця стандартна функція виявляє вразливості програмного забезпечення в залежностях пакета додатка, доданих до вашої функції Lambda та шарів. Наприклад, якщо ваша функція використовує версію бібліотеки, такої як python-jwt, з відомою вразливістю, вона генерує висновок.
|
||||
- **Lambda code scanning**: Аналізує кастомний код додатка на предмет проблем безпеки, виявляючи вразливості, такі як вразливості ін'єкцій, витоки даних, слабке шифрування та відсутнє шифрування. Він захоплює фрагменти коду, що підкреслюють виявлені вразливості, такі як закодовані віртуальні дані. Висновки включають детальні рекомендації щодо усунення та фрагменти коду для виправлення проблем.
|
||||
- **Lambda code scanning**: Аналізує кастомний код додатка на наявність проблем безпеки, виявляючи вразливості, такі як вразливості ін'єкцій, витоки даних, слабке шифрування та відсутнє шифрування. Він захоплює фрагменти коду, що підкреслюють виявлені вразливості, такі як закодовані віртуальні дані. Висновки включають детальні рекомендації щодо усунення та фрагменти коду для виправлення проблем.
|
||||
|
||||
#### **Center for Internet Security (CIS) scans**
|
||||
|
||||
@@ -79,7 +77,7 @@ Amazon Inspector включає сканування CIS для оцінки о
|
||||
|
||||
- **Configuration**: Сканування CIS оцінює, чи відповідають системні конфігурації конкретним рекомендаціям CIS Benchmark, при цьому кожна перевірка пов'язана з ідентифікатором перевірки CIS та заголовком.
|
||||
- **Execution**: Сканування виконуються або плануються на основі тегів екземпляра та визначених графіків.
|
||||
- **Results**: Результати після сканування вказують, які перевірки пройшли, були пропущені або не пройшли, надаючи уявлення про безпекову позицію кожного екземпляра.
|
||||
- **Results**: Результати після сканування вказують, які перевірки пройшли, були пропущені або провалилися, надаючи уявлення про безпекову позицію кожного екземпляра.
|
||||
|
||||
### Enumeration
|
||||
```bash
|
||||
@@ -185,13 +183,13 @@ aws inspector list-rules-packages
|
||||
### Постексплуатація
|
||||
|
||||
> [!TIP]
|
||||
> З точки зору атакуючого, ця служба може допомогти атакуючому знайти вразливості та мережеві витоки, які можуть допомогти йому скомпрометувати інші екземпляри/контейнери.
|
||||
> З точки зору атакуючого, ця служба може допомогти атакуючому знайти вразливості та мережеві експозиції, які можуть допомогти йому скомпрометувати інші екземпляри/контейнери.
|
||||
>
|
||||
> Однак, атакуючий також може бути зацікавлений у порушенні цієї служби, щоб жертва не могла бачити вразливості (всі або конкретні).
|
||||
|
||||
#### `inspector2:CreateFindingsReport`, `inspector2:CreateSBOMReport`
|
||||
|
||||
Атакуючий може створити детальні звіти про вразливості або рахунки на програмне забезпечення (SBOM) та ексфільтрувати їх з вашого середовища AWS. Цю інформацію можна використовувати для виявлення конкретних слабкостей, застарілого програмного забезпечення або небезпечних залежностей, що дозволяє здійснювати цілеспрямовані атаки.
|
||||
Атакуючий може створити детальні звіти про вразливості або рахунки на програмне забезпечення (SBOM) та ексфільтрувати їх з вашого середовища AWS. Цю інформацію можна використати для виявлення конкретних слабкостей, застарілого програмного забезпечення або небезпечних залежностей, що дозволяє здійснювати цілеспрямовані атаки.
|
||||
```bash
|
||||
# Findings report
|
||||
aws inspector2 create-findings-report --report-format <CSV | JSON> --s3-destination <bucketName=string,keyPrefix=string,kmsKeyArn=string> [--filter-criteria <value>]
|
||||
@@ -265,7 +263,7 @@ aws --region us-east-1 inspector2 create-findings-report --report-format CSV --s
|
||||
|
||||
#### `inspector2:CancelFindingsReport`, `inspector2:CancelSbomExport`
|
||||
|
||||
Зловмисник може скасувати генерацію вказаного звіту про вразливості або звіту SBOM, що заважає командам безпеки отримувати своєчасну інформацію про вразливості та рахунки програмного забезпечення (SBOM), затримуючи виявлення та усунення проблем безпеки.
|
||||
Зловмисник може скасувати генерацію вказаного звіту про вразливості або звіту SBOM, що заважає командам безпеки отримувати своєчасну інформацію про вразливості та рахунки на програмне забезпечення (SBOM), затримуючи виявлення та усунення проблем безпеки.
|
||||
```bash
|
||||
# Cancel findings report generation
|
||||
aws inspector2 cancel-findings-report --report-id <value>
|
||||
@@ -276,7 +274,7 @@ aws inspector2 cancel-sbom-export --report-id <value>
|
||||
|
||||
#### `inspector2:CreateFilter`, `inspector2:UpdateFilter`, `inspector2:DeleteFilter`
|
||||
|
||||
Зловмисник з цими дозволами зможе маніпулювати правилами фільтрації, які визначають, які вразливості та проблеми безпеки повідомляються або подавляються (якщо **дія** встановлена на SUPPRESS, буде створено правило подавлення). Це може приховати критичні вразливості від адміністраторів безпеки, що полегшує експлуатацію цих слабкостей без виявлення. Змінюючи або видаляючи важливі фільтри, зловмисник також може створити шум, заповнюючи систему нерелевантними знахідками, що заважає ефективному моніторингу та реагуванню на безпеку.
|
||||
Зловмисник з цими дозволами зможе маніпулювати правилами фільтрації, які визначають, які вразливості та проблеми безпеки повідомляються або подавляються (якщо **дія** встановлена на SUPPRESS, буде створено правило подавлення). Це може приховати критичні вразливості від адміністраторів безпеки, що полегшує експлуатацію цих слабкостей без виявлення. Змінюючи або видаляючи важливі фільтри, зловмисник також може створити шум, заповнюючи систему нерелевантними знахідками, що заважає ефективному моніторингу безпеки та реагуванню.
|
||||
```bash
|
||||
# Create
|
||||
aws inspector2 create-filter --action <NONE | SUPPRESS> --filter-criteria <value> --name <value> [--reason <value>]
|
||||
@@ -291,13 +289,13 @@ aws inspector2 delete-filter --arn <value>
|
||||
|
||||
Зловмисник може суттєво порушити структуру управління безпекою.
|
||||
|
||||
- Вимкнувши делегований обліковий запис адміністратора, зловмисник може перешкодити команді безпеки отримувати доступ до налаштувань і звітів Amazon Inspector.
|
||||
- Увімкнення несанкціонованого облікового запису адміністратора дозволить зловмиснику контролювати конфігурації безпеки, потенційно вимикаючи сканування або змінюючи налаштування для приховування шкідливої діяльності.
|
||||
- Вимкнувши делегований обліковий запис адміністратора, зловмисник може завадити команді безпеки отримувати доступ до налаштувань і звітів Amazon Inspector.
|
||||
- Увімкнення несанкціонованого облікового запису адміністратора дозволить зловмиснику контролювати конфігурації безпеки, потенційно вимикаючи сканування або змінюючи налаштування, щоб приховати шкідливу діяльність.
|
||||
|
||||
> [!WARNING]
|
||||
> Необхідно, щоб несанкціонований обліковий запис був в тій же Організації, що й жертва, щоб стати делегованим адміністратором.
|
||||
>
|
||||
> Щоб несанкціонований обліковий запис став делегованим адміністратором, також необхідно, щоб після вимкнення легітимного делегованого адміністратора, і перед увімкненням несанкціонованого облікового запису як делегованого адміністратора, легітимний адміністратор повинен бути виключений як делегований адміністратор з організації. Це можна зробити за допомогою наступної команди (**`organizations:DeregisterDelegatedAdministrator`** потрібен дозвіл): **`aws organizations deregister-delegated-administrator --account-id <legit-account-id> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)`**
|
||||
> Щоб несанкціонований обліковий запис став делегованим адміністратором, також необхідно, щоб після вимкнення легітимного делегованого адміністратора і перед увімкненням несанкціонованого облікового запису як делегованого адміністратора, легітимний адміністратор був виключений з організації як делегований адміністратор. Це можна зробити за допомогою наступної команди (**`organizations:DeregisterDelegatedAdministrator`** потрібен дозвіл): **`aws organizations deregister-delegated-administrator --account-id <legit-account-id> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)`**
|
||||
```bash
|
||||
# Disable
|
||||
aws inspector2 disable-delegated-admin-account --delegated-admin-account-id <value>
|
||||
@@ -308,7 +306,7 @@ aws inspector2 enable-delegated-admin-account --delegated-admin-account-id <valu
|
||||
|
||||
#### `inspector2:AssociateMember`, `inspector2:DisassociateMember`
|
||||
|
||||
Зловмисник може маніпулювати асоціацією облікових записів учасників в організації Amazon Inspector. Асуючи несанкціоновані облікові записи або від'єднуючи легітимні, зловмисник може контролювати, які облікові записи включені в сканування безпеки та звітність. Це може призвести до виключення критичних облікових записів з моніторингу безпеки, що дозволяє зловмиснику експлуатувати вразливості в цих облікових записах без виявлення.
|
||||
Зловмисник може маніпулювати асоціацією облікових записів учасників в організації Amazon Inspector. Асоціюючи несанкціоновані облікові записи або від'єднуючи легітимні, зловмисник може контролювати, які облікові записи включені в перевірки безпеки та звітність. Це може призвести до виключення критичних облікових записів з моніторингу безпеки, що дозволяє зловмиснику експлуатувати вразливості в цих облікових записах без виявлення.
|
||||
|
||||
> [!WARNING]
|
||||
> Цю дію повинен виконувати делегований адміністратор.
|
||||
@@ -318,14 +316,14 @@ aws inspector2 associate-member --account-id <value>
|
||||
# Disassociate
|
||||
aws inspector2 disassociate-member --account-id <value>
|
||||
```
|
||||
- **Потенційний вплив**: Виключення ключових облікових записів з перевірок безпеки, що дозволяє непомічену експлуатацію вразливостей.
|
||||
- **Потенційний вплив**: Виключення ключових облікових записів з перевірок безпеки, що дозволяє непомічене використання вразливостей.
|
||||
|
||||
#### `inspector2:Disable`, (`inspector2:Enable` & `iam:CreateServiceLinkedRole`)
|
||||
|
||||
Зловмисник з дозволом `inspector2:Disable` зможе вимкнути перевірки безпеки для конкретних типів ресурсів (EC2, ECR, Lambda, код Lambda) для зазначених облікових записів, залишаючи частини середовища AWS без нагляду та вразливими до атак. Крім того, завдяки дозволам **`inspector2:Enable`** та **`iam:CreateServiceLinkedRole`**, зловмисник зможе повторно ввімкнути перевірки вибірково, щоб уникнути виявлення підозрілих конфігурацій.
|
||||
Зловмисник з дозволом `inspector2:Disable` зможе вимкнути перевірки безпеки для певних типів ресурсів (EC2, ECR, Lambda, код Lambda) для зазначених облікових записів, залишаючи частини середовища AWS без нагляду та вразливими до атак. Крім того, маючи дозволи **`inspector2:Enable`** та **`iam:CreateServiceLinkedRole`**, зловмисник зможе повторно ввімкнути перевірки вибірково, щоб уникнути виявлення підозрілих конфігурацій.
|
||||
|
||||
> [!WARNING]
|
||||
> Цю дію потрібно виконувати делегованим адміністратором.
|
||||
> Цю дію потрібно виконати делегованим адміністратором.
|
||||
```bash
|
||||
# Disable
|
||||
aws inspector2 disable --account-ids <value> [--resource-types <{EC2, ECR, LAMBDA, LAMBDA_CODE}>]
|
||||
@@ -339,7 +337,7 @@ aws inspector2 enable --resource-types <{EC2, ECR, LAMBDA, LAMBDA_CODE}> [--acco
|
||||
Зловмисник з цим дозволом зможе оновити конфігурації для вашої організації Amazon Inspector, що вплине на стандартні функції сканування, увімкнені для нових облікових записів учасників.
|
||||
|
||||
> [!WARNING]
|
||||
> Цю дію потрібно виконувати делегованим адміністратором.
|
||||
> Цю дію потрібно виконати делегованим адміністратором.
|
||||
```bash
|
||||
aws inspector2 update-organization-configuration --auto-enable <ec2=true|false,ecr=true|false,lambda=true|false,lambdaCode=true|false>
|
||||
```
|
||||
|
||||
@@ -1,7 +1,5 @@
|
||||
# AWS - Trusted Advisor Enum
|
||||
|
||||
## AWS - Trusted Advisor Enum
|
||||
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
## AWS Trusted Advisor Overview
|
||||
@@ -51,13 +49,13 @@ Trusted Advisor - це сервіс, який **надає рекомендац
|
||||
- Безкоштовний доступ до групи безпеки
|
||||
- Відкритий доступ на запис/перегляд до S3 buckets
|
||||
- MFA увімкнено на кореневому обліковому записі
|
||||
- Дозволи групи безпеки RDS
|
||||
- Ліберальність групи безпеки RDS
|
||||
- Використання CloudTrail
|
||||
- SPF записи для MX записів Route 53
|
||||
- Налаштування HTTPS на ELB
|
||||
- Групи безпеки для ELB
|
||||
- Перевірки сертифікатів для CloudFront
|
||||
- Ротація ключів доступу IAM (90 днів)
|
||||
- Ротація ключів доступу IAM (кожні 90 днів)
|
||||
- Витік ключів доступу (наприклад, на GitHub)
|
||||
- Публічна видимість знімків EBS або RDS
|
||||
- Слабкі або відсутні політики паролів IAM
|
||||
|
||||
@@ -1,7 +1,5 @@
|
||||
# AWS - WAF Enum
|
||||
|
||||
## AWS - WAF Enum
|
||||
|
||||
{{#include ../../../../banners/hacktricks-training.md}}
|
||||
|
||||
## AWS WAF
|
||||
@@ -16,7 +14,7 @@ Web ACL - це колекція правил, які ви можете заст
|
||||
|
||||
#### Група правил
|
||||
|
||||
Група правил - це повторно використовувана колекція правил, які ви можете застосувати до кількох Web ACL. Групи правил допомагають управляти та підтримувати послідовні набори правил для різних веб-додатків або API.
|
||||
Група правил - це повторно використовувана колекція правил, яку ви можете застосувати до кількох Web ACL. Групи правил допомагають управляти та підтримувати послідовні набори правил для різних веб-додатків або API.
|
||||
|
||||
Кожна група правил має свою асоційовану **ємність**, яка допомагає розрахувати та контролювати операційні ресурси, що використовуються для виконання ваших правил, груп правил і веб ACL. Після встановлення значення під час створення його не можна змінити.
|
||||
|
||||
@@ -24,12 +22,12 @@ Web ACL - це колекція правил, які ви можете заст
|
||||
|
||||
Правило визначає набір умов, які AWS WAF використовує для перевірки вхідних веб-запитів. Існує два основних типи правил:
|
||||
|
||||
1. **Звичайне правило**: Цей тип правила використовує вказані умови для визначення, чи дозволити, заблокувати або підрахувати веб-запити.
|
||||
2. **Правило на основі швидкості**: Підраховує запити з певної IP-адреси протягом п'яти хвилин. Тут користувачі визначають поріг, і якщо кількість запитів з IP перевищує цей ліміт протягом п'яти хвилин, наступні запити з цієї IP блокуються, поки швидкість запитів не знизиться нижче порогу. Мінімальний поріг для правил на основі швидкості становить **2000 запитів**.
|
||||
1. **Звичайне правило**: Цей тип правила використовує вказані умови, щоб визначити, чи дозволити, заблокувати або підрахувати веб-запити.
|
||||
2. **Правило на основі швидкості**: Підраховує запити з певної IP-адреси протягом п'яти хвилин. Тут користувачі визначають поріг, і якщо кількість запитів з IP перевищує цей ліміт протягом п'яти хвилин, наступні запити з цієї IP блокуються, поки швидкість запитів не знизиться нижче порогу. Мінімальний поріг для правил на основі швидкості - **2000 запитів**.
|
||||
|
||||
#### Керовані правила
|
||||
|
||||
AWS WAF пропонує попередньо налаштовані, керовані набори правил, які підтримуються AWS та продавцями AWS Marketplace. Ці набори правил забезпечують захист від загальних загроз і регулярно оновлюються для усунення нових вразливостей.
|
||||
AWS WAF пропонує попередньо налаштовані, керовані набори правил, які підтримуються AWS та продавцями AWS Marketplace. Ці набори правил забезпечують захист від загальних загроз і регулярно оновлюються для вирішення нових вразливостей.
|
||||
|
||||
#### Набір IP
|
||||
|
||||
@@ -37,7 +35,7 @@ AWS WAF пропонує попередньо налаштовані, керов
|
||||
|
||||
#### Набір шаблонів Regex
|
||||
|
||||
Набір шаблонів Regex містить один або кілька регулярних виразів (regex), які визначають шаблони для пошуку у веб-запитах. Це корисно для більш складних сценаріїв співпадіння, таких як фільтрація конкретних послідовностей символів.
|
||||
Набір шаблонів Regex містить один або кілька регулярних виразів (regex), які визначають шаблони для пошуку у веб-запитах. Це корисно для більш складних сценаріїв відповідності, таких як фільтрація конкретних послідовностей символів.
|
||||
|
||||
#### Токен блокування
|
||||
|
||||
@@ -45,7 +43,7 @@ AWS WAF пропонує попередньо налаштовані, керов
|
||||
|
||||
#### API ключі
|
||||
|
||||
API ключі в AWS WAF використовуються для автентифікації запитів до певних операцій API. Ці ключі шифруються та управляються безпечно, щоб контролювати доступ і забезпечити, щоб лише авторизовані користувачі могли вносити зміни до конфігурацій WAF.
|
||||
API ключі в AWS WAF використовуються для аутентифікації запитів до певних API-операцій. Ці ключі шифруються та управляються безпечно, щоб контролювати доступ і забезпечити, щоб лише авторизовані користувачі могли вносити зміни до конфігурацій WAF.
|
||||
|
||||
- **Приклад**: Інтеграція API CAPTCHA.
|
||||
|
||||
@@ -55,16 +53,16 @@ API ключі в AWS WAF використовуються для автенти
|
||||
|
||||
#### Область дії
|
||||
|
||||
Параметр області дії в AWS WAF визначає, чи застосовуються правила та конфігурації WAF до регіонального додатку або розподілу Amazon CloudFront.
|
||||
Параметр області в AWS WAF визначає, чи застосовуються правила та конфігурації WAF до регіонального додатку або розподілу Amazon CloudFront.
|
||||
|
||||
- **REGIONAL**: Застосовується до регіональних сервісів, таких як Application Load Balancers (ALB), Amazon API Gateway REST API, AWS AppSync GraphQL API, Amazon Cognito user pool, AWS App Runner service та AWS Verified Access instance. Ви вказуєте регіон AWS, де розташовані ці ресурси.
|
||||
- **REGIONAL**: Застосовується до регіональних послуг, таких як Application Load Balancers (ALB), Amazon API Gateway REST API, AWS AppSync GraphQL API, пул користувачів Amazon Cognito, служба AWS App Runner та екземпляр AWS Verified Access. Ви вказуєте регіон AWS, де розташовані ці ресурси.
|
||||
- **CLOUDFRONT**: Застосовується до розподілів Amazon CloudFront, які є глобальними. Конфігурації WAF для CloudFront управляються через регіон `us-east-1`, незалежно від того, де подається контент.
|
||||
|
||||
### Ключові функції
|
||||
|
||||
#### Критерії моніторингу (Умови)
|
||||
|
||||
**Умови** визначають елементи вхідних HTTP/HTTPS запитів, які моніторить AWS WAF, до яких входять XSS, географічне положення (GEO), IP-адреси, обмеження розміру, SQL-ін'єкції та шаблони (рядки та співпадіння regex). Важливо зазначити, що **запити, обмежені на рівні CloudFront на основі країни, не досягнуть WAF**.
|
||||
**Умови** визначають елементи вхідних HTTP/HTTPS запитів, які моніторить AWS WAF, до яких відносяться XSS, географічне положення (GEO), IP-адреси, обмеження розміру, SQL-ін'єкції та шаблони (рядки та відповідність regex). Важливо зазначити, що **запити, обмежені на рівні CloudFront на основі країни, не досягнуть WAF**.
|
||||
|
||||
Кожен обліковий запис AWS може налаштувати:
|
||||
|
||||
@@ -77,12 +75,12 @@ API ключі в AWS WAF використовуються для автенти
|
||||
|
||||
Дії призначаються кожному правилу, з такими варіантами:
|
||||
|
||||
- **Allow**: Запит пересилається до відповідного розподілу CloudFront або балансувальника навантаження додатків.
|
||||
- **Block**: Запит терміново зупиняється.
|
||||
- **Count**: Підраховує запити, що відповідають умовам правила. Це корисно для тестування правил, підтверджуючи точність правила перед його встановленням на Allow або Block.
|
||||
- **CAPTCHA та Challenge:** Перевіряється, що запит не надходить від бота, використовуючи головоломки CAPTCHA та тихі виклики.
|
||||
- **Дозволити**: Запит пересилається до відповідного розподілу CloudFront або балансувальника навантаження додатків.
|
||||
- **Заблокувати**: Запит терміново припиняється.
|
||||
- **Підрахувати**: Підраховує запити, що відповідають умовам правила. Це корисно для тестування правил, підтверджуючи точність правила перед його встановленням на Дозволити або Заблокувати.
|
||||
- **CAPTCHA та Виклик:** Перевіряється, що запит не надходить від бота, використовуючи головоломки CAPTCHA та тихі виклики.
|
||||
|
||||
Якщо запит не відповідає жодному правилу в Web ACL, він підлягає **за замовчуванням дії** (Allow або Block). Порядок виконання правил, визначений у Web ACL, є критично важливим і зазвичай слідує цій послідовності:
|
||||
Якщо запит не відповідає жодному правилу в Web ACL, він підлягає **за замовчуванням дії** (Дозволити або Заблокувати). Порядок виконання правил, визначений у Web ACL, є критично важливим і зазвичай слідує цій послідовності:
|
||||
|
||||
1. Дозволити IP-адреси зі списку білих.
|
||||
2. Заблокувати IP-адреси зі списку чорних.
|
||||
@@ -99,7 +97,7 @@ AWS WAF інтегрується з CloudWatch для моніторингу, п
|
||||
- CLI - Вкажіть регіон US East, коли ви використовуєте область CloudFront: `--scope CLOUDFRONT --region=us-east-1`.
|
||||
- API та SDK - Для всіх викликів використовуйте регіональний кінцевий пункт us-east-1.
|
||||
|
||||
Щоб взаємодіяти з регіональними сервісами, ви повинні вказати регіон:
|
||||
Щоб взаємодіяти з регіональними послугами, ви повинні вказати регіон:
|
||||
|
||||
- Приклад з регіоном Європа (Іспанія): `--scope REGIONAL --region=eu-south-2`
|
||||
```bash
|
||||
@@ -192,7 +190,7 @@ aws wafv2 get-mobile-sdk-release --platform <value> --release-version <value>
|
||||
>
|
||||
> Однак, атакуючий також може бути зацікавлений у порушенні цієї служби, щоб веб-сайти не були захищені WAF.
|
||||
|
||||
У багатьох операціях видалення та оновлення буде необхідно надати **lock token**. Цей токен використовується для контролю за конкурентністю ресурсів, забезпечуючи, щоб зміни не були випадково перезаписані кількома користувачами або процесами, які намагаються одночасно оновити один і той же ресурс. Щоб отримати цей токен, ви можете виконати відповідні **list** або **get** операції над конкретним ресурсом.
|
||||
У багатьох операціях видалення та оновлення буде необхідно надати **lock token**. Цей токен використовується для контролю за конкурентністю ресурсів, забезпечуючи, щоб зміни не були випадково перезаписані кількома користувачами або процесами, які намагаються оновити один і той же ресурс одночасно. Щоб отримати цей токен, ви можете виконати відповідні **list** або **get** операції над конкретним ресурсом.
|
||||
|
||||
#### **`wafv2:CreateRuleGroup`, `wafv2:UpdateRuleGroup`, `wafv2:DeleteRuleGroup`**
|
||||
|
||||
@@ -211,7 +209,7 @@ aws wafv2 update-rule-group --name <value> --id <value> --visibility-config <val
|
||||
# Delete Rule Group
|
||||
aws wafv2 delete-rule-group --name <value> --id <value> --lock-token <value> --scope <REGIONAL --region=<value> | CLOUDFRONT --region=us-east-1>
|
||||
```
|
||||
Наступні приклади показують групу правил, яка блокує легітимний трафік з конкретних IP-адрес:
|
||||
Наступні приклади показують групу правил, яка блокує легітимний трафік з певних IP-адрес:
|
||||
```bash
|
||||
aws wafv2 create-rule-group --name BlockLegitimateIPsRuleGroup --capacity 1 --visibility-config SampledRequestsEnabled=false,CloudWatchMetricsEnabled=false,MetricName=BlockLegitimateIPsRuleGroup --scope CLOUDFRONT --region us-east-1 --rules file://rule.json
|
||||
```
|
||||
@@ -329,11 +327,11 @@ aws wafv2 update-web-acl --name AllowLegitimateIPsWebACL --scope REGIONAL --id 1
|
||||
}
|
||||
]
|
||||
```
|
||||
**Потенційний вплив**: Неавторизований доступ, витоки даних та потенційні атаки DoS.
|
||||
**Потенційний вплив**: Несанкціонований доступ, витоки даних та потенційні атаки DoS.
|
||||
|
||||
#### **`wafv2:AssociateWebACL`, `wafv2:DisassociateWebACL`**
|
||||
|
||||
Дозвіл **`wafv2:AssociateWebACL`** дозволить зловмиснику асоціювати веб ACL (Списки контролю доступу) з ресурсами, що дозволить обійти засоби безпеки, дозволяючи неавторизованому трафіку досягати програми, що потенційно призведе до експлуатацій, таких як SQL-ін'єкція або міжсайтове скриптування (XSS). У свою чергу, з дозволом **`wafv2:DisassociateWebACL`** зловмисник може тимчасово відключити засоби захисту, піддаючи ресурси вразливостям без виявлення.
|
||||
Дозвіл **`wafv2:AssociateWebACL`** дозволив би зловмиснику асоціювати веб ACL (Списки контролю доступу) з ресурсами, що дозволяє обійти засоби безпеки, дозволяючи несанкціонованому трафіку досягати програми, що потенційно призводить до експлуатацій, таких як SQL-ін'єкція або міжсайтове скриптування (XSS). Навпаки, з дозволом **`wafv2:DisassociateWebACL`** зловмисник міг би тимчасово відключити засоби безпеки, піддаючи ресурси вразливостям без виявлення.
|
||||
|
||||
Додаткові дозволи знадобляться в залежності від типу захищеного ресурсу:
|
||||
|
||||
@@ -361,7 +359,7 @@ aws wafv2 disassociate-web-acl --resource-arn <value>
|
||||
|
||||
#### **`wafv2:CreateIPSet` , `wafv2:UpdateIPSet`, `wafv2:DeleteIPSet`**
|
||||
|
||||
Зловмисник зможе створювати, оновлювати та видаляти IP набори, керовані AWS WAF. Це може бути небезпечно, оскільки він може створити нові IP набори для дозволу шкідливого трафіку, змінити IP набори для блокування легітимного трафіку, оновити існуючі IP набори, щоб включити шкідливі IP-адреси, видалити довірені IP-адреси або видалити критично важливі IP набори, які призначені для захисту критичних ресурсів.
|
||||
Зловмисник зможе створювати, оновлювати та видаляти набори IP, які керуються AWS WAF. Це може бути небезпечно, оскільки він може створити нові набори IP для дозволу шкідливого трафіку, змінити набори IP, щоб заблокувати легітимний трафік, оновити існуючі набори IP, щоб включити шкідливі IP-адреси, видалити довірені IP-адреси або видалити критично важливі набори IP, які призначені для захисту критичних ресурсів.
|
||||
```bash
|
||||
# Create IP set
|
||||
aws wafv2 create-ip-set --name <value> --ip-address-version <IPV4 | IPV6> --addresses <value> --scope <REGIONAL --region=<value> | CLOUDFRONT --region=us-east-1>
|
||||
@@ -378,11 +376,11 @@ aws wafv2 update-ip-set --name LegitimateIPv4Set --id 1a2b3c4d-1a2b-1a2b-1a2b-1a
|
||||
|
||||
#### **`wafv2:CreateRegexPatternSet`** , **`wafv2:UpdateRegexPatternSet`**, **`wafv2:DeleteRegexPatternSet`**
|
||||
|
||||
Зловмисник з цими дозволами зможе маніпулювати наборами шаблонів регулярних виразів, які використовуються AWS WAF для контролю та фільтрації вхідного трафіку на основі конкретних шаблонів.
|
||||
Зловмисник з цими дозволами зможе маніпулювати наборами шаблонів регулярних виразів, які використовуються AWS WAF для контролю та фільтрації вхідного трафіку на основі специфічних шаблонів.
|
||||
|
||||
- Створення нових шаблонів регулярних виразів допоможе зловмиснику дозволити шкідливий контент
|
||||
- Оновлення існуючих шаблонів дозволить зловмиснику обійти правила безпеки
|
||||
- Видалення шаблонів, які призначені для блокування шкідливих дій, може призвести до того, що зловмисник надішле шкідливі корисні навантаження та обійде заходи безпеки.
|
||||
- Видалення шаблонів, які призначені для блокування шкідливих дій, може призвести до того, що зловмисник зможе надсилати шкідливі вантажі та обійти заходи безпеки.
|
||||
```bash
|
||||
# Create regex pattern set
|
||||
aws wafv2 create-regex-pattern-set --name <value> --regular-expression-list <value> --scope <REGIONAL --region=<value> | CLOUDFRONT --region=us-east-1> [--description <value>]
|
||||
@@ -395,27 +393,27 @@ aws wafv2 delete-regex-pattern-set --name <value> --scope <REGIONAL --region=<va
|
||||
|
||||
#### **(`wavf2:PutLoggingConfiguration` &** `iam:CreateServiceLinkedRole`), **`wafv2:DeleteLoggingConfiguration`**
|
||||
|
||||
Зловмисник з **`wafv2:DeleteLoggingConfiguration`** зможе видалити конфігурацію журналювання з вказаного Web ACL. Після цього, з дозволами **`wavf2:PutLoggingConfiguration`** та **`iam:CreateServiceLinkedRole`**, зловмисник може створити або замінити конфігурації журналювання (після їх видалення), щоб або зовсім запобігти журналюванню, або перенаправити журнали до несанкціонованих місць призначення, таких як Amazon S3 buckets, група журналів Amazon CloudWatch Logs або Amazon Kinesis Data Firehose під контролем.
|
||||
Зловмисник з правами **`wafv2:DeleteLoggingConfiguration`** зможе видалити конфігурацію журналювання з вказаного Web ACL. Після цього, з правами **`wavf2:PutLoggingConfiguration`** та **`iam:CreateServiceLinkedRole`**, зловмисник може створити або замінити конфігурації журналювання (після їх видалення), щоб або зовсім запобігти журналюванню, або перенаправити журнали до несанкціонованих місць, таких як кошики Amazon S3, групи журналів Amazon CloudWatch Logs або Amazon Kinesis Data Firehose під контролем.
|
||||
|
||||
Під час процесу створення служба автоматично налаштовує необхідні дозволи, щоб дозволити запис журналів до вказаного місця призначення для журналювання:
|
||||
Під час процесу створення служба автоматично налаштовує необхідні дозволи, щоб дозволити запис журналів до вказаного місця журналювання:
|
||||
|
||||
- **Amazon CloudWatch Logs:** AWS WAF створює політику ресурсу на призначеній групі журналів CloudWatch Logs. Ця політика забезпечує, що AWS WAF має необхідні дозволи для запису журналів у групу журналів.
|
||||
- **Amazon S3 Bucket:** AWS WAF створює політику кошика на призначеному S3 bucket. Ця політика надає AWS WAF необхідні дозволи для завантаження журналів до вказаного кошика.
|
||||
- **Amazon Kinesis Data Firehose:** AWS WAF створює роль, пов'язану з сервісом, спеціально для взаємодії з Kinesis Data Firehose. Ця роль дозволяє AWS WAF доставляти журнали до налаштованого потоку Firehose.
|
||||
- **Amazon CloudWatch Logs:** AWS WAF створює політику ресурсу на призначеній групі журналів CloudWatch Logs. Ця політика забезпечує, що AWS WAF має необхідні дозволи для запису журналів до групи журналів.
|
||||
- **Amazon S3 Bucket:** AWS WAF створює політику кошика на призначеному кошику S3. Ця політика надає AWS WAF необхідні дозволи для завантаження журналів до вказаного кошика.
|
||||
- **Amazon Kinesis Data Firehose:** AWS WAF створює роль, пов'язану зі службою, спеціально для взаємодії з Kinesis Data Firehose. Ця роль дозволяє AWS WAF доставляти журнали до налаштованого потоку Firehose.
|
||||
|
||||
> [!NOTE]
|
||||
> Можливо визначити лише одне місце призначення для журналювання на веб ACL.
|
||||
> Можливо визначити лише одне місце журналювання на веб ACL.
|
||||
```bash
|
||||
# Put logging configuration
|
||||
aws wafv2 put-logging-configuration --logging-configuration <value>
|
||||
# Delete logging configuration
|
||||
aws wafv2 delete-logging-configuration --resource-arn <value> [--log-scope <CUSTOMER | SECURITY_LAKE>] [--log-type <value>]
|
||||
```
|
||||
**Потенційний вплив:** Непрозорість у безпекових подіях, ускладнення процесу реагування на інциденти та сприяння прихованим злочинним діям у середовищах, захищених AWS WAF.
|
||||
**Потенційний вплив:** Непрозорість видимості в безпекових подіях, ускладнення процесу реагування на інциденти та сприяння прихованим злочинним діям у середовищах, захищених AWS WAF.
|
||||
|
||||
#### **`wafv2:DeleteAPIKey`**
|
||||
|
||||
Зловмисник з цими правами зможе видаляти існуючі API-ключі, що зробить CAPTCHA неефективним і порушить функціональність, яка на ньому базується, таку як надсилання форм та контроль доступу. Залежно від реалізації цього CAPTCHA, це може призвести або до обходу CAPTCHA, або до DoS, якщо управління помилками не налаштоване належним чином у ресурсі.
|
||||
Зловмисник з цими правами зможе видаляти існуючі API-ключі, що зробить CAPTCHA неефективним і порушить функціональність, яка на ньому базується, таку як подання форм і контроль доступу. Залежно від реалізації цього CAPTCHA, це може призвести або до обходу CAPTCHA, або до DoS, якщо управління помилками не налаштоване належним чином у ресурсі.
|
||||
```bash
|
||||
# Delete API key
|
||||
aws wafv2 delete-api-key --api-key <value> --scope <REGIONAL --region=<value> | CLOUDFRONT --region=us-east-1>
|
||||
|
||||
@@ -1,14 +1,12 @@
|
||||
# AWS - EventBridge Scheduler Enum
|
||||
|
||||
## EventBridge Scheduler
|
||||
|
||||
{{#include ../../../banners/hacktricks-training.md}}
|
||||
|
||||
## EventBridge Scheduler
|
||||
|
||||
**Amazon EventBridge Scheduler** є повністю керованим, **безсерверним планувальником, призначеним для створення, виконання та управління завданнями** в масштабах. Він дозволяє вам планувати мільйони завдань через понад 270 сервісів AWS та 6,000+ API операцій, все з одного центрального сервісу. Завдяки вбудованій надійності та відсутності інфраструктури для управління, EventBridge Scheduler спрощує планування, знижує витрати на обслуговування та автоматично масштабується відповідно до попиту. Ви можете налаштувати cron або rate вирази для повторюваних розкладів, встановити одноразові виклики та визначити гнучкі вікна доставки з опціями повторних спроб, забезпечуючи надійну доставку завдань на основі доступності цільових об'єктів.
|
||||
**Amazon EventBridge Scheduler** - це повністю керований, **безсерверний планувальник, призначений для створення, виконання та управління завданнями** в масштабах. Він дозволяє вам планувати мільйони завдань через понад 270 сервісів AWS та 6,000+ API операцій, все з одного центрального сервісу. Завдяки вбудованій надійності та відсутності інфраструктури для управління, EventBridge Scheduler спрощує планування, знижує витрати на обслуговування та автоматично масштабується відповідно до попиту. Ви можете налаштувати cron або rate вирази для повторюваних розкладів, встановити одноразові виклики та визначити гнучкі вікна доставки з опціями повторних спроб, забезпечуючи надійну доставку завдань на основі доступності цільових об'єктів.
|
||||
|
||||
Існує початковий ліміт у 1,000,000 розкладів на регіон на обліковий запис. Навіть на офіційній сторінці квот зазначено: "Рекомендується видаляти одноразові розклади після їх завершення." 
|
||||
Існує початковий ліміт у 1,000,000 розкладів на регіон на обліковий запис. Навіть на офіційній сторінці квот зазначено: "Рекомендується видаляти одноразові розклади після їх завершення."
|
||||
|
||||
### Types of Schedules
|
||||
|
||||
@@ -20,12 +18,12 @@
|
||||
|
||||
Два механізми для обробки невдалих подій:
|
||||
|
||||
1. **Політика повторних спроб** – Визначає кількість спроб повторення для невдалої події та як довго її залишати необробленою, перш ніж вважати її невдачею.
|
||||
1. **Політика повторних спроб** – Визначає кількість спроб повторення для невдалої події та як довго тримати її необробленою, перш ніж вважати її невдачею.
|
||||
2. **Черга мертвих листів (DLQ)** – Стандартна черга Amazon SQS, куди доставляються невдалі події після вичерпання спроб повторення. DLQ допомагає в усуненні проблем з вашим розкладом або його цільовим об'єктом.
|
||||
|
||||
### Targets
|
||||
|
||||
Існує 2 типи цілей для планувальника [**шаблонні (docs)**](https://docs.aws.amazon.com/scheduler/latest/UserGuide/managing-targets-templated.html), які часто використовуються, і AWS спростив їх налаштування, та [**універсальні (docs)**](https://docs.aws.amazon.com/scheduler/latest/UserGuide/managing-targets-universal.html), які можна використовувати для виклику будь-якого AWS API.
|
||||
Існує 2 типи цілей для планувальника [**шаблонні (docs)**](https://docs.aws.amazon.com/scheduler/latest/UserGuide/managing-targets-templated.html), які часто використовуються, і AWS спростила їх налаштування, та [**універсальні (docs)**](https://docs.aws.amazon.com/scheduler/latest/UserGuide/managing-targets-universal.html), які можна використовувати для виклику будь-якого AWS API.
|
||||
|
||||
**Шаблонні цілі** підтримують наступні сервіси:
|
||||
|
||||
@@ -66,7 +64,7 @@ aws scheduler list-tags-for-resource --resource-arn <schedule_group_arn>
|
||||
```
|
||||
### Privesc
|
||||
|
||||
На наступній сторінці ви можете перевірити, як **зловживати правами доступу до eventbridge scheduler для ескалації привілеїв**:
|
||||
На наступній сторінці ви можете перевірити, як **зловживати дозволами планувальника eventbridge для ескалації привілеїв**:
|
||||
|
||||
{{#ref}}
|
||||
../aws-privilege-escalation/eventbridgescheduler-privesc.md
|
||||
|
||||
Reference in New Issue
Block a user