AWS - Relational Database (RDS) Enum

Aprenda e pratique Hacking AWS:HackTricks Treinamento AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Treinamento GCP Red Team Expert (GRTE)

Suporte ao HackTricks

Confira os planos de assinatura!
Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
Compartilhe truques de hacking enviando PRs para os repositórios do HackTricks e HackTricks Cloud.

Informações Básicas

O Serviço de Banco de Dados Relacional (RDS) oferecido pela AWS é projetado para simplificar a implantação, operação e escalonamento de um banco de dados relacional na nuvem. Este serviço oferece as vantagens de eficiência de custo e escalabilidade, enquanto automatiza tarefas que consomem muito tempo, como provisionamento de hardware, configuração de banco de dados, aplicação de patches e backups.

O AWS RDS suporta vários mecanismos de banco de dados relacionais amplamente utilizados, incluindo MySQL, PostgreSQL, MariaDB, Oracle Database, Microsoft SQL Server e Amazon Aurora, com compatibilidade para MySQL e PostgreSQL.

As principais características do RDS incluem:

Gerenciamento de instâncias de banco de dados é simplificado.
Criação de réplicas de leitura para melhorar o desempenho de leitura.
Configuração de implantações em múltiplas Zonas de Disponibilidade (AZ) para garantir alta disponibilidade e mecanismos de failover.
Integração com outros serviços da AWS, como:
AWS Identity and Access Management (IAM) para controle de acesso robusto.
AWS CloudWatch para monitoramento e métricas abrangentes.
AWS Key Management Service (KMS) para garantir criptografia em repouso.

Credenciais

Ao criar o cluster de DB, o nome de usuário mestre pode ser configurado (admin por padrão). Para gerar a senha deste usuário, você pode:

Indicar uma senha você mesmo
Dizer ao RDS para gerar automaticamente
Dizer ao RDS para gerenciá-la no AWS Secret Manager criptografada com uma chave KMS

Autenticação

Existem 3 tipos de opções de autenticação, mas usar a senha mestre é sempre permitido:

Acesso Público & VPC

Por padrão, nenhum acesso público é concedido aos bancos de dados, no entanto, pode ser concedido. Portanto, por padrão, apenas máquinas da mesma VPC poderão acessá-lo se o grupo de segurança selecionado (armazenado no EC2 SG) permitir.

Em vez de expor uma instância de DB, é possível criar um RDS Proxy que melhora a escalabilidade e disponibilidade do cluster de DB.

Além disso, a porta do banco de dados pode ser modificada também.

Criptografia

A criptografia é habilitada por padrão usando uma chave gerenciada pela AWS (uma CMK pode ser escolhida em vez disso).

Ao habilitar sua criptografia, você está habilitando criptografia em repouso para seu armazenamento, snapshots, réplicas de leitura e seus backups. As chaves para gerenciar essa criptografia podem ser emitidas usando KMS. Não é possível adicionar esse nível de criptografia após a criação do seu banco de dados. Isso deve ser feito durante sua criação.

No entanto, existe uma solução alternativa que permite criptografar um banco de dados não criptografado da seguinte forma. Você pode criar um snapshot do seu banco de dados não criptografado, criar uma cópia criptografada desse snapshot, usar esse snapshot criptografado para criar um novo banco de dados e, finalmente, seu banco de dados estaria criptografado.

Criptografia de Dados Transparente (TDE)

Além das capacidades de criptografia inerentes ao RDS no nível da aplicação, o RDS também suporta mecanismos adicionais de criptografia em nível de plataforma para proteger dados em repouso. Isso inclui Criptografia de Dados Transparente (TDE) para Oracle e SQL Server. No entanto, é crucial notar que, embora o TDE melhore a segurança ao criptografar dados em repouso, ele também pode afetar o desempenho do banco de dados. Esse impacto no desempenho é especialmente notável quando usado em conjunto com funções criptográficas do MySQL ou funções criptográficas do Microsoft Transact-SQL.

Para utilizar o TDE, certos passos preliminares são necessários:

Associação de Grupo de Opções:

O banco de dados deve estar associado a um grupo de opções. Os grupos de opções servem como contêineres para configurações e recursos, facilitando o gerenciamento do banco de dados, incluindo melhorias de segurança.
No entanto, é importante notar que os grupos de opções estão disponíveis apenas para mecanismos de banco de dados e versões específicas.

Inclusão do TDE no Grupo de Opções:

Uma vez associado a um grupo de opções, a opção de Criptografia de Dados Transparente do Oracle precisa ser incluída nesse grupo.
É essencial reconhecer que, uma vez que a opção TDE é adicionada a um grupo de opções, ela se torna uma característica permanente e não pode ser removida.

Modos de Criptografia TDE:

O TDE oferece dois modos distintos de criptografia:
Criptografia de Tablespace TDE: Este modo criptografa tabelas inteiras, proporcionando um escopo mais amplo de proteção de dados.
Criptografia de Coluna TDE: Este modo foca na criptografia de elementos específicos e individuais dentro do banco de dados, permitindo um controle mais granular sobre quais dados são criptografados.

Compreender esses pré-requisitos e as complexidades operacionais do TDE é crucial para implementar e gerenciar efetivamente a criptografia dentro do RDS, garantindo tanto a segurança dos dados quanto a conformidade com os padrões necessários.

Enumeração

# Clusters info
## Get Endpoints, username, port, iam auth enabled, attached roles, SG
aws rds describe-db-clusters
aws rds describe-db-cluster-endpoints #Cluster URLs
aws rds describe-db-cluster-backtracks --db-cluster-identifier <cluster-name>

## Cluster snapshots
aws rds describe-db-cluster-snapshots

# Get DB instances info
aws rds describe-db-instances #username, url, port, vpc, SG, is public?
aws rds describe-db-security-groups

## Find automated backups
aws rds describe-db-instance-automated-backups

## Find snapshots
aws rds describe-db-snapshots
aws rds describe-db-snapshots --include-public --snapshot-type public
## Restore snapshot as new instance
aws rds restore-db-instance-from-db-snapshot --db-instance-identifier <ID> --db-snapshot-identifier <ID> --availability-zone us-west-2a

# Any public snapshot in the account
aws rds describe-db-snapshots --snapshot-type public

# Proxies
aws rds describe-db-proxy-endpoints
aws rds describe-db-proxy-target-groups
aws rds describe-db-proxy-targets

## reset credentials of MasterUsername
aws rds modify-db-instance --db-instance-identifier <ID> --master-user-password <NewPassword> --apply-immediately