IAM-verkeerdconfiguraties

In de cloud is identiteit de nieuwe perimeter. IAM (Identity and Access Management) bepaalt wie wat mag doen. Een fout in IAM stelt een aanvaller in staat om vanaf een toegangspunt met weinig rechten door te groeien naar volledige controle over het account.

• Gebruikers, rollen en serviceaccounts zijn identiteiten
• Beleidsregels definiëren machtigingen
• Verkeerd geconfigureerde beleidsregels vormen het grootste cloudrisico

De meeste escalaties van cloudrechten zijn een IAM-probleem.

AWS IAM heeft drie bouwstenen die je moet begrijpen:

• Gebruikers — identiteiten met langdurige toegangssleutels
• Rollen — tijdelijke identiteiten die door gebruikers of diensten kunnen worden aangenomen
• Beleidsregels — JSON-documenten die acties op bronnen toestaan of weigeren

Een beleidsregel die te breed is gekoppeld, veroorzaakt overmatige machtigingen.

Het gevaarlijkste IAM-patroon is een beleidsregel met jokertekens. Deze staat elke actie op elke bron toe.

Als een aanvaller een identiteit met deze beleidsregel compromitteert, heeft die de volledige controle over het account.

Zodra je een inloggegeven bezit, moet je opsommen wat je ermee kunt doen. IAM heeft lees-API's die gekoppelde beleidsregels zichtbaar maken.

Sommige accounts geven gewone gebruikers zelfs iam:Get* en iam:List*, waardoor je gratis een overzicht krijgt.

Een klassieke escalatie: een gebruiker heeft iam:PassRole en daarnaast toestemming om een dienst aan te maken. Die gebruiker kan een bron starten die een rol met hoge rechten aanneemt en de bijbehorende toegang overneemt.

• De gebruiker heeft ec2:RunInstances + iam:PassRole
• Die start een EC2-instantie waaraan een beheerdersrol is gekoppeld
• De instantie beschikt nu over beheerdersinloggegevens, die de gebruiker ophaalt

De gebruiker had nooit rechtstreeks beheerdersrechten, maar heeft deze wel verkregen door escalatie.

Afzonderlijke machtigingen kunnen onschadelijk zijn, maar samen een route voor escalatie vormen. Bekende risicovolle combinaties zijn:

• iam:CreatePolicyVersion — een bestaande beleidsregel herschrijven om beheerdersrechten toe te kennen
• iam:AttachUserPolicy — AdministratorAccess aan jezelf koppelen
• iam:CreateAccessKey voor een andere gebruiker — diens identiteit overnemen
• sts:AssumeRole voor een rol die te veel vertrouwen heeft

Hulpmiddelen brengen deze combinaties automatisch in kaart.

Rollen hebben een vertrouwensbeleidsregel die bepaalt wie ze mag aannemen. Een te ruime vertrouwensbeleidsregel is een achterdeur.

Als een rol per vergissing het hele account of zelfs een extern account vertrouwt, kan een aanvaller deze rol aannemen.

Elke combinatie van beleidsregels handmatig controleren is omslachtig. Hulpmiddelen brengen escalatieroutes voor je in kaart.

• Pacu — AWS-exploitatiekader met modules voor escalatie van rechten
• PMapper — brengt IAM-relaties als graaf in kaart en vindt routes voor escalatie van rechten
• enumerate-iam — probeert systematisch uit welke API-aanroepen een sleutel kan uitvoeren

Machtigingen kunnen op twee manieren worden toegekend, en aanvallers controleren beide:

• Beheerde beleidsregels — herbruikbaar en aan meerdere identiteiten gekoppeld
• Inline-beleidsregels — rechtstreeks ingebed in één gebruiker of rol

Inline-beleidsregels worden bij controles gemakkelijk over het hoofd gezien en verbergen daarom vaak overmatige machtigingen. Inventariseer bij het beoordelen van een identiteit altijd beide soorten.

De oplossing voor IAM-configuratiefouten is minimale rechten: ken alleen de exact benodigde machtigingen toe.

• Vervang jokertekens door expliciete acties en ARN's van bronnen
• Gebruik rollen met kortdurende inloggegevens in plaats van langdurige sleutels
• Controleer ongebruikte machtigingen met Access Analyzer
• Verplicht MFA voor identiteiten met verhoogde rechten

In je rapport moet je elke bevinding koppelen aan een oplossing volgens het principe van minimale rechten.

Tests voor escalatie van rechten wijzigen actief de toestand van een account. Wees voorzichtig:

• Het aanmaken van beleidsregels, sleutels of rollen is ingrijpend; vraag hiervoor schriftelijke goedkeuring
• Documenteer elke wijziging zodat deze kan worden teruggedraaid
• Geef de voorkeur aan alleen-lezeninventarisatie om een route aan te tonen voordat je deze misbruikt

Vaak is het voldoende om aan te tonen dat een route voor escalatie van rechten bestaat; je hoeft deze niet altijd volledig te misbruiken.

Je hebt geleerd waarom IAM de echte perimeter van de cloud is en hoe aanvallers hiervan misbruik maken.

• Beleidsregels met jokertekens zoals Action:* Resource:* zijn rampzalig
• iam:PassRole + toestemming om een dienst aan te maken maakt escalatie van rechten mogelijk
• Te ruime vertrouwensbeleidsregels stellen aanvallers in staat rollen aan te nemen
• Hulpmiddelen zoals Pacu en PMapper automatiseren het opsporen van routes
• De oplossing is altijd minimale rechten

Vervolgens bekijken we blootstelling van S3 en opslag.