AWS - MSK Enum
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Amazon Managed Streaming for Apache Kafka (Amazon MSK) é um serviço totalmente gerenciado, facilitando o desenvolvimento e a execução de aplicações que processam dados de streaming através do Apache Kafka. Operações de controle, incluindo criação, atualização e exclusão de clusters, são oferecidas pelo Amazon MSK. O serviço permite a utilização de operações de data-plane do Apache Kafka, abrangendo produção e consumo de dados. Ele opera em versões de código aberto do Apache Kafka, garantindo compatibilidade com aplicações, ferramentas e plugins existentes, tanto de parceiros quanto da comunidade Apache Kafka, eliminando a necessidade de alterações no código da aplicação.
Em termos de confiabilidade, o Amazon MSK é projetado para detectar e recuperar automaticamente de cenários comuns de falha de cluster, garantindo que as aplicações produtoras e consumidoras continuem suas atividades de escrita e leitura de dados com mínima interrupção. Além disso, visa otimizar os processos de replicação de dados ao tentar reutilizar o armazenamento de brokers substituídos, minimizando assim o volume de dados que precisa ser replicado pelo Apache Kafka.
Existem 2 tipos de clusters Kafka que a AWS permite criar: Provisionado e Serverless.
Do ponto de vista de um atacante, você precisa saber que:
Serverless não pode ser publicamente acessível (pode rodar apenas em uma VPN sem nenhum IP exposto publicamente). No entanto, Provisionado pode ser configurado para obter um IP público (por padrão, não obtém) e configurar o grupo de segurança para expor as portas relevantes.
Serverless suporta apenas IAM como método de autenticação. Provisionado suporta autenticação SASL/SCRAM (senha), autenticação IAM, autenticação do AWS Certificate Manager (ACM) e acesso não autenticado.
Observe que não é possível expor publicamente um Kafka Provisionado se o acesso não autenticado estiver habilitado.
Se você tiver acesso ao VPC onde um Kafka Provisionado está, você poderia habilitar acesso não autorizado, se a autenticação SASL/SCRAM, ler a senha do segredo, conceder algumas outras permissões de usuário IAM controladas (se IAM ou serverless forem usados) ou persistir com certificados.
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)