Bulut Saldırı Yüzeyi

Bulutta sağlayıcı altyapıyı, müşteri ise yapılandırmayı, kimliği ve verileri güvence altına alır. İhlallerin çoğu bu çizginin müşteri tarafında gerçekleşir.

• Sağlayıcı hipervizörlere yama uygular ve fiziksel güvenliği sağlar.
• Müşteri IAM ilkelerinden, depolama izinlerinden ve ağ kurallarından sorumludur.
• Sağlayıcının ele geçirilmesi değil, yanlış yapılandırma baskın risktir.

Bulutta geleneksel bir ağ sınırı yoktur. Erişim IAM tarafından yönetilir: kullanıcılar, roller, ilkeler ve anahtarlar. Sızdırılmış bir erişim anahtarı, çalınmış bir etki alanı yöneticisi parolası kadar zarar verici olabilir.

• IAM ilkeleri kaynaklar üzerinde gerçekleştirilebilecek eylemleri verir.
• Roller, hizmetlerin ve kullanıcıların geçici kimlik bilgilerini üstlenmesini sağlar.
• Aşırı yetkilendirilmiş kimlikler, başlıca yükseltme vektörüdür.

Bulut kimlik bilgileri sürekli sızar. Yaygın kaynaklar şunlardır:

• Erişim anahtarlarının genel Git depolarına işlenmesi.
• Anahtarların mobil uygulamalarda, CI günlüklerinde veya kapsayıcı görüntülerinde sabit kodlanması.
• Sunucu Taraflı İstek Sahteciliği (SSRF) ile meta veri hizmetine ulaşılması.
• Kısa ömürlü roller yerine uzun ömürlü anahtarların gereğinden geniş biçimde paylaşılması.

Her bulut örneği, geçici rol kimlik bilgilerini sağlayabilen bir meta veri uç noktası sunar. Buna erişebilen bir VM üzerinde gerçekleşen SSRF veya RCE çoğu zaman örneğin rolünün ele geçirilmesine yol açar.

• AWS IMDS şu adreste bulunur: 169.254.169.254.
• IMDSv1 yalnızca isteklerle çalışır ve SSRF üzerinden kolayca kötüye kullanılabilir.
• IMDSv2 bir oturum belirteci gerektirir (PUT ardından GET); bu da birçok SSRF saldırısının etkisini azaltır.

Nesne depolama (S3, GCS, Azure Blob), veri ifşasının tekrarlanan kaynaklarından biridir.

• Herkese açık okuma izinli kovalar hassas dosyaları sızdırır.
• Herkese açık yazma izinli kovalar, verilerin değiştirilmesine veya kötü amaçlı yazılım barındırılmasına olanak tanır.
• Gereğinden geniş kova politikaları veya erişim denetim listeleri, kimliği doğrulanmış kullanıcılara erişim verir.
• Uzun süre geçerli olan ön imzalı bağlantılar kalıcı erişimi sızdırır.

Bulut ağ denetimleri (Güvenlik Grupları, ağ güvenlik grupları, güvenlik duvarı kuralları) kolayca gereğinden fazla açılabilir.

• Veritabanları veya yönetici bağlantı noktaları 0.0.0.0/0 adresine açılmış olabilir.
• Yönetim düzlemlerine (Kubernetes API, RDP, SSH) internetten erişilebilir.
• Kimlik doğrulaması olmadan VPC'ye örtük olarak güvenen iç hizmetler bulunabilir.

Sunucusuz mimari riski ortadan kaldırmaz, yalnızca yerini değiştirir. İşlevlerin, kuyrukların ve yönetilen veritabanlarının her birinin bir yürütme kimliği vardır.

• Bir Lambda işlevinin yürütme rolüne gereğinden fazla izin verilmiş olabilir.
• Ortam değişkenleri, sistem ele geçirildiğinde okunabilen gizli bilgileri sıklıkla içerir.
• Olay kaynağındaki yanlış yapılandırma, güvenilmeyen girdilerin ayrıcalıklı işlevleri tetiklemesine izin verebilir.

İki saldırı yüzeyini birbirinden ayırın:

• Denetim düzlemi: bulut API'si (kaynak oluşturma, IAM'i değiştirme, yapılandırmaları okuma). Buradaki bir ihlal hesabın tamamını etkiler.
• Veri düzlemi: iş yüklerinin kendisi (uygulamalar, VM'ler, kapsayıcılar).

Denetim düzlemi kimlik bilgilerini elde eden bir veri düzlemi dayanak noktası, klasik bulut yetki yükseltmesidir.

Büyük kuruluşlar iş yüklerini çok sayıda hesaba/aboneliğe/projeye böler.

• Zayıf güven politikalarına sahip hesaplar arası roller, başka ortamlara sıçramaya izin verir.
• Üçüncü taraf entegrasyon rolündeki şaşkın vekil durumu kötüye kullanılabilir.
• Kuruluş düzeyindeki roller (ör. OrganizationAccountAccessRole) yüksek değer taşır.

Savunma ekipleri buluta özgü günlük kayıtlarına güvenir. Saldırganlar bunları kör etmeye çalışır.

• CloudTrail / Etkinlik Günlüğü / Denetim Günlükleri, denetim düzlemi çağrılarını kaydeder.
• Saldırganlar izleri devre dışı bırakabilir veya günlük teslimatını durdurabilir.
• GuardDuty / Security Command Center / Defender anormallikleri işaretler.

Günlük kaydını devre dışı bırakmak, tek başına uyarı verilmesini gerektiren, güçlü sinyal taşıyan bir olaydır.

Bulut sızma sınamaları, sağlayıcı politikalarının bilinmesini ve yetkilendirmeyi gerektirir. Bazı eylemler (hizmet reddi, belirli taramalar) sağlayıcı koşullarını ihlal eder. Her zaman hesap sahipliğini doğrulayın, etki alanı üzerinde anlaşın ve önce salt okunur keşfi tercih edin.

Özel bir sınama hesabı veya açıkça etiketlenmiş kaynaklar kullanın ve belgelenen kapsam dışındaki kaynaklara asla dokunmayın.

Bulut saldırı yüzeyi konusundaki kavrayışınızı doğrulayın.

Bulut saldırı yüzeyini haritaladınız.

• Müşteri tarafındaki yanlış yapılandırma, bulut riskinin başlıca kaynağıdır.
• Kimlik, çevre sınırıdır; sızdırılan anahtarlar ve roller başlıca saldırı yollarıdır.
• Meta veri hizmeti, veri düzlemindeki hataları bulut kimlik bilgilerine bağlar.
• Depolama, ağ ve günlük kaydı yanlış yapılandırmaları bu yüzeyi tamamlar.

Sonraki adım: bu sorunları bulmak için bulut kaynaklarının envanterini çıkarmak.