Persistencia y movimiento lateral

Después de escalar privilegios, los atacantes buscan un acceso duradero y capacidad de alcanzar todo el entorno. En la nube, la persistencia y el movimiento lateral utilizan la identidad y la configuración, no implantes en disco.

• Persistencia: sobrevivir a la rotación de credenciales y a la detección.
• Movimiento lateral: pivotar entre cuentas, roles y servicios.

La forma más sencilla de lograr persistencia es crear credenciales que controle.

• Cree una clave de acceso adicional para un usuario privilegiado.
• Añada un perfil de inicio de sesión (contraseña de consola) a una cuenta de servicio.
• Registre una credencial adicional en una entidad de servicio (Azure) o una clave de cuenta de servicio (GCP).

Una persistencia más sutil modifica quién recibe confianza y se integra en la configuración normal.

• Añada su entidad principal a la política de confianza de un rol.
• Inserte una declaración de permiso en una política administrada de uso generalizado.
• Cree un rol nuevo que confíe en una cuenta externa controlada por el atacante.

Estas técnicas sobreviven a la rotación de claves porque son estructurales, no se basan en credenciales.

Las políticas de recursos pueden conceder acceso entre cuentas sin modificar los usuarios de IAM.

• Añada una cuenta externa a una política del bucket de S3 o política de claves de KMS.
• Suscriba un endpoint externo a un tema de SNS o un bus de eventos.
• Comparta una instantánea/AMI con una cuenta del atacante.

Las propias cargas de trabajo pueden alojar mecanismos de persistencia.

• Una función Lambda activada según un horario (EventBridge) restablece el acceso.
• Los scripts de user-data se ejecutan al arrancar la instancia.
• Una capa maliciosa o una imagen de contenedor modificada persiste entre nuevos despliegues.

La asunción de roles es la principal vía lateral. Desde una identidad, puede encadenar el acceso hacia otras.

• Asuma un rol entre cuentas para entrar en otra cuenta.
• Use PassRole para operar como un rol de servicio con un alcance diferente.
• Encadenamiento de roles: asumir el rol A, que puede asumir el rol B, y así sucesivamente.

Las máquinas virtuales y los contenedores comprometidos permiten avanzar hacia el plano de datos.

• Use SSM / Run Command para ejecutar comandos en instancias sin SSH.
• Lea los metadatos de instancia para obtener credenciales nuevas del rol en cada host.
• Pivote a través de VPC interconectadas y subredes compartidas.

El movimiento suele servir para robar datos. Los canales de exfiltración nativos de la nube son fáciles de pasar por alto.

• Copie objetos a un bucket propiedad del atacante mediante una política del bucket.
• Cree una instantánea pública e impórtela en otro lugar.
• Replique una base de datos o envíe registros a un destino externo.

Los atacantes reducen la telemetría para prolongar el tiempo de permanencia.

• Detenga o filtre la entrega de CloudTrail / Activity Log.
• Opere dentro de una sola región para limitar las alertas entre regiones.
• Use roles existentes y sesiones con nombre que se parezcan a una automatización legítima.

La manipulación de los registros es en sí misma una buena oportunidad de detección para los equipos defensores.

Los equipos defensivos contrarrestan la persistencia en la nube mediante supervisión y medidas de protección.

• Genere alertas ante nuevas claves de acceso, modificaciones de políticas de confianza y cambios en políticas de recursos que concedan acceso a cuentas externas.
• Detecte que CloudTrail se ha detenido o ha dejado de registrar eventos de servicios globales.
• Use SCPs para denegar el uso compartido entre cuentas y la manipulación de registros en toda la organización.
• Prefiera credenciales de corta duración y rótelas continuamente; haga caducar las claves sin uso.

Los artefactos de persistencia son peligrosos si se dejan atrás. Durante las pruebas autorizadas, haga un inventario de todas las puertas traseras que cree (claves, roles, modificaciones de confianza, funciones programadas, instantáneas compartidas) y elimínelas todas al finalizar el trabajo.

Informe sobre cada técnica de persistencia con los pasos precisos para revertirla, de modo que los defensores puedan verificar su eliminación.

Confirme sus conocimientos sobre persistencia y movimiento.

Ha aprendido sobre la persistencia y el movimiento lateral en la nube.

• La persistencia utiliza credenciales nuevas, puertas traseras en relaciones de confianza y políticas, y políticas de recursos.
• El movimiento lateral encadena la asunción de roles y el acceso a recursos de cómputo (SSM, metadatos).
• Los atacantes manipulan los registros para prolongar el tiempo de permanencia.
• Las SCPs, las credenciales de corta duración y las alertas sobre cambios de configuración son las defensas.

Con esto finaliza el curso de Pruebas de penetración en la nube.