AWS - Inspector Enum
AWS - Inspector Enum
Inspector
Amazon Inspector ni huduma ya usimamizi wa udhaifu wa hali ya juu, iliyotengenezwa kiotomatiki ili kuboresha usalama wa mazingira yako ya AWS. Huduma hii inafanya skanning mara kwa mara ya Amazon EC2 instances, picha za kontena katika Amazon ECR, Amazon ECS, na kazi za AWS Lambda kwa udhaifu na kufichuliwa kwa mtandao bila kukusudia. Kwa kutumia hifadhidata yenye nguvu ya uelewa wa udhaifu, Amazon Inspector inatoa matokeo ya kina, ikiwa ni pamoja na viwango vya ukali na mapendekezo ya kurekebisha, ikisaidia mashirika kutambua na kushughulikia hatari za usalama kwa njia ya awali. Njia hii ya kina inahakikisha msimamo thabiti wa usalama katika huduma mbalimbali za AWS, ikisaidia katika kufuata sheria na usimamizi wa hatari.
Key elements
Findings
Matokeo katika Amazon Inspector ni ripoti za kina kuhusu udhaifu na kufichuliwa kwa mtandao yaliyogunduliwa wakati wa skanning ya EC2 instances, ECR repositories, au kazi za Lambda. Kulingana na hali yake, matokeo yanagawanywa kama:
Active: Matokeo hayajarekebishwa.
Closed: Matokeo yamekamilishwa.
Suppressed: Matokeo yamewekwa katika hali hii kutokana na moja au zaidi ya sheria za kukandamiza.
Matokeo pia yanagawanywa katika aina tatu zifuatazo:
Package: Matokeo haya yanahusiana na udhaifu katika pakiti za programu zilizowekwa kwenye rasilimali zako. Mifano ni pamoja na maktaba za zamani au utegemezi zenye matatizo ya usalama yanayojulikana.
Code: Kategoria hii inajumuisha udhaifu ulio katika msimbo wa programu zinazotembea kwenye rasilimali zako za AWS. Masuala ya kawaida ni makosa ya uandishi au mbinu zisizo salama ambazo zinaweza kusababisha uvunjaji wa usalama.
Network: Matokeo ya mtandao yanatambua kufichuliwa kwa uwezekano katika usanidi wa mtandao ambao unaweza kutumiwa na washambuliaji. Hizi ni pamoja na bandari wazi, protokali zisizo salama za mtandao, na vikundi vya usalama vilivyopangwa vibaya.
Filters and Suppression Rules
Filters na sheria za kukandamiza katika Amazon Inspector husaidia kusimamia na kuweka kipaumbele matokeo. Filters zinakuwezesha kuboresha matokeo kulingana na vigezo maalum, kama vile ukali au aina ya rasilimali. Sheria za kukandamiza zinakuwezesha kukandamiza matokeo fulani ambayo yanachukuliwa kuwa hatari ndogo, tayari yamepunguziliwa, au kwa sababu nyingine muhimu, kuzuia kujaa kwa ripoti zako za usalama na kukuwezesha kuzingatia masuala muhimu zaidi.
Software Bill of Materials (SBOM)
Software Bill of Materials (SBOM) katika Amazon Inspector ni orodha ya hisa inayoweza kusafirishwa inayofafanua vipengele vyote ndani ya pakiti ya programu, ikiwa ni pamoja na maktaba na utegemezi. SBOMs husaidia kutoa uwazi katika mnyororo wa usambazaji wa programu, ikiruhusu usimamizi bora wa udhaifu na kufuata sheria. Ni muhimu kwa kutambua na kupunguza hatari zinazohusiana na vipengele vya programu za chanzo wazi na za wahusika wengine.
Key features
Export findings
Amazon Inspector inatoa uwezo wa kusafirisha matokeo hadi Amazon S3 Buckets, Amazon EventBridge na AWS Security Hub, ambayo inakuwezesha kuunda ripoti za kina za udhaifu na kufichuliwa kwa mtandao kwa uchambuzi zaidi au kushiriki kwa tarehe na wakati maalum. Kipengele hiki kinaunga mkono muundo mbalimbali wa matokeo kama vile CSV na JSON, na kufanya iwe rahisi kuunganishwa na zana na mifumo mingine. Uwezo wa kusafirisha unaruhusu kubadilisha data iliyojumuishwa katika ripoti, ikikuruhusu kuchuja matokeo kulingana na vigezo maalum kama vile ukali, aina ya rasilimali, au kipindi cha tarehe na ikiwa kwa default inajumuisha matokeo yako yote katika Mkoa wa AWS wa sasa yenye hali ya Active.
Wakati wa kusafirisha matokeo, funguo za Key Management Service (KMS) zinahitajika ili kuficha data wakati wa usafirishaji. Funguo za KMS zinahakikisha kuwa matokeo yaliyosafirishwa yanapewa ulinzi dhidi ya ufikiaji usioidhinishwa, na kutoa safu ya ziada ya usalama kwa taarifa nyeti za udhaifu.
Amazon EC2 instances scanning
Amazon Inspector inatoa uwezo mzuri wa skanning kwa Amazon EC2 instances ili kugundua udhaifu na masuala ya usalama. Inspector ililinganisha metadata iliyochukuliwa kutoka kwa EC2 instance dhidi ya sheria kutoka kwa taarifa za usalama ili kutoa udhaifu wa pakiti na masuala ya upatikanaji wa mtandao. Skanning hizi zinaweza kufanywa kupitia agent-based au agentless mbinu, kulingana na usanidi wa scan mode wa akaunti yako.
Agent-Based: Inatumia wakala wa AWS Systems Manager (SSM) kufanya skanning za kina. Mbinu hii inaruhusu ukusanyaji wa data wa kina na uchambuzi moja kwa moja kutoka kwa instance.
Agentless: Inatoa chaguo nyepesi ambacho hakihitaji kufunga wakala kwenye instance, kuunda picha ya EBS ya kila kiasi cha EC2 instance, kutafuta udhaifu, na kisha kuifuta; ikitumia miundombinu iliyopo ya AWS kwa ajili ya skanning.
Msimamo wa skanning unamua mbinu ipi itatumika kufanya skanning za EC2:
Agent-Based: Inahusisha kufunga wakala wa SSM kwenye EC2 instances kwa ukaguzi wa kina.
Hybrid Scanning: Inachanganya mbinu za agent-based na agentless ili kuongeza ufanisi na kupunguza athari za utendaji. Katika EC2 instances ambapo wakala wa SSM umewekwa, Inspector itafanya skanning ya agent-based, na kwa wale ambao hawana wakala wa SSM, skanning itakayofanywa itakuwa agentless.
Kipengele kingine muhimu ni ukaguzi wa kina kwa EC2 Linux instances. Kipengele hiki kinatoa uchambuzi wa kina wa programu na usanidi wa EC2 Linux instances, ikitoa tathmini za kina za udhaifu, ikiwa ni pamoja na udhaifu wa mfumo wa uendeshaji, udhaifu wa programu, na usanidi usio sahihi, kuhakikisha tathmini kamili ya usalama. Hii inafanywa kupitia ukaguzi wa njia maalum na kila moja ya saraka zake ndogo. Kwa default, Amazon Inspector itafanya skanning ya yafuatayo, lakini kila akaunti ya mwanachama inaweza kufafanua hadi njia 5 zaidi maalum, na kila msimamizi aliyeteuliwa hadi 10:
/usr/lib/usr/lib64/usr/local/lib/usr/local/lib64
Amazon ECR container images scanning
Amazon Inspector inatoa uwezo mzuri wa skanning kwa picha za kontena za Amazon Elastic Container Registry (ECR), kuhakikisha kuwa udhaifu wa pakiti unagunduliwa na kusimamiwa kwa ufanisi.
Basic Scanning: Hii ni skanning ya haraka na nyepesi inayotambua udhaifu wa pakiti za OS zinazojulikana katika picha za kontena kwa kutumia seti ya kawaida ya sheria kutoka kwa mradi wa chanzo wazi wa Clair. Kwa usanidi huu wa skanning, hazina zako zitafanywa skanning wakati wa kusukuma, au kufanya skanning za mikono.
Enhanced Scanning: Chaguo hili linaongeza kipengele cha skanning endelevu pamoja na skanning wakati wa kusukuma. Skanning iliyoboreshwa inaingia kwa undani zaidi katika tabaka za kila picha ya kontena ili kutambua udhaifu katika pakiti za OS na katika pakiti za lugha za programu kwa usahihi zaidi. Inachambua picha ya msingi na tabaka zozote za ziada, ikitoa mtazamo wa kina wa masuala ya usalama yanayoweza kutokea.
Amazon Lambda functions scanning
Amazon Inspector inajumuisha uwezo wa skanning wa kina kwa kazi za AWS Lambda na tabaka zake, kuhakikisha usalama na uadilifu wa programu zisizo na seva. Inspector inatoa aina mbili za skanning kwa kazi za Lambda:
Lambda standard scanning: Kipengele hiki cha default kinatambua udhaifu wa programu katika utegemezi wa pakiti za programu zilizoongezwa kwenye kazi yako ya Lambda na tabaka. Kwa mfano, ikiwa kazi yako inatumia toleo la maktaba kama python-jwt lenye udhaifu unaojulikana, inazalisha matokeo.
Lambda code scanning: Inachambua msimbo wa programu maalum kwa masuala ya usalama, ikitambua udhaifu kama vile kasoro za kuingiza, kufichuliwa kwa data, cryptography dhaifu, na ukosefu wa usimbaji. Inakamata vipande vya msimbo vinavyoonyesha udhaifu ulio gunduliwa, kama vile akidi za siri zilizowekwa kwa nguvu. Matokeo yanajumuisha mapendekezo ya kina ya kurekebisha na vipande vya msimbo vya kutatua masuala.
Center for Internet Security (CIS) scans
Amazon Inspector inajumuisha skanning za CIS ili kupima mifumo ya uendeshaji ya Amazon EC2 instance dhidi ya mapendekezo bora ya Center for Internet Security (CIS). Skanning hizi zinahakikisha usanidi unafuata viwango vya usalama vya viwandani.
Configuration: Skanning za CIS zinakagua ikiwa usanidi wa mfumo unakidhi mapendekezo maalum ya CIS Benchmark, huku kila ukaguzi ukiunganishwa na ID ya ukaguzi wa CIS na kichwa.
Execution: Skanning zinafanywa au kupanga kulingana na lebo za instance na ratiba zilizofafanuliwa.
Results: Matokeo baada ya skanning yanaonyesha ni ukaguzi gani ulipita, uliachwa, au ulifeli, na kutoa mwanga juu ya msimamo wa usalama wa kila instance.
Enumeration
Post Exploitation
Kutoka kwa mtazamo wa mshambuliaji, huduma hii inaweza kumsaidia mshambuliaji kupata udhaifu na wazi za mtandao ambazo zinaweza kumsaidia kuathiri mifano/containers nyingine.
Hata hivyo, mshambuliaji anaweza pia kuwa na hamu ya kuharibu huduma hii ili mwathirika asiweze kuona udhaifu (zote au maalum).
inspector2:CreateFindingsReport, inspector2:CreateSBOMReport
inspector2:CreateFindingsReport, inspector2:CreateSBOMReportMshambuliaji anaweza kuunda ripoti za kina za udhaifu au orodha ya vifaa vya programu (SBOMs) na kuzitoa kutoka kwa mazingira yako ya AWS. Taarifa hii inaweza kutumika kubaini udhaifu maalum, programu za zamani, au utegemezi usio salama, ikiruhusu mashambulizi yaliyolengwa.
Unda Amazon S3 Bucket na uambatishe sera ili iweze kufikiwa kutoka kwa mwathirika Amazon Inspector:
Unda funguo ya Amazon KMS na uambatishe sera ili iweze kutumika na Amazon Inspector ya mwathirika:
Tekeleza amri ya kuunda ripoti ya matokeo kwa kuhamasisha:
Madhara Yanayoweza Kutokea: Uundaji na uhamasishaji wa ripoti za udhaifu na programu, kupata maarifa kuhusu udhaifu maalum na mapungufu ya usalama.
inspector2:CancelFindingsReport, inspector2:CancelSbomExport
inspector2:CancelFindingsReport, inspector2:CancelSbomExportMshambuliaji anaweza kufuta uundaji wa ripoti ya matokeo iliyotajwa au ripoti ya SBOM, kuzuia timu za usalama kupokea taarifa kwa wakati kuhusu udhaifu na muswada wa vifaa vya programu (SBOMs), kuchelewesha kugundua na kurekebisha masuala ya usalama.
Madhara Yanayoweza Kutokea: Kuingiliwa kwa ufuatiliaji wa usalama na kuzuia kugunduliwa na kurekebishwa kwa masuala ya usalama kwa wakati.
inspector2:CreateFilter, inspector2:UpdateFilter, inspector2:DeleteFilter
inspector2:CreateFilter, inspector2:UpdateFilter, inspector2:DeleteFilterMshambuliaji mwenye ruhusa hizi angeweza kubadilisha sheria za kuchuja ambazo zinatambulisha ni udhaifu gani na masuala ya usalama yanayoripotiwa au kufichwa (ikiwa kitendo kimewekwa kuwa SUPPRESS, sheria ya kuficha itaundwa). Hii inaweza kuficha udhaifu muhimu kutoka kwa wasimamizi wa usalama, na kufanya iwe rahisi kutumia udhaifu hizi bila kugunduliwa. Kwa kubadilisha au kuondoa filters muhimu, mshambuliaji pia anaweza kuunda kelele kwa kujaa mfumo na matokeo yasiyo na maana, na kuzuia ufuatiliaji wa usalama na majibu kuwa na ufanisi.
Madhara Yanayoweza Kutokea: Kuficha au kuzuiya udhaifu muhimu, au kujaa mfumo na matokeo yasiyo na maana.
inspector2:DisableDelegatedAdminAccount, (inspector2:EnableDelegatedAdminAccount & organizations:ListDelegatedAdministrators & organizations:EnableAWSServiceAccess & iam:CreateServiceLinkedRole)
inspector2:DisableDelegatedAdminAccount, (inspector2:EnableDelegatedAdminAccount & organizations:ListDelegatedAdministrators & organizations:EnableAWSServiceAccess & iam:CreateServiceLinkedRole)Mshambuliaji anaweza kuharibu kwa kiasi kikubwa muundo wa usimamizi wa usalama.
Kwa kuzima akaunti ya msimamizi aliyepewa, mshambuliaji anaweza kuzuia timu ya usalama kufikia na kusimamia mipangilio na ripoti za Amazon Inspector.
Kuwezesha akaunti ya msimamizi isiyoidhinishwa kutaruhusu mshambuliaji kudhibiti mipangilio ya usalama, huenda akazima skana au kubadilisha mipangilio ili kuficha shughuli mbaya.
Inahitajika kwa akaunti isiyoidhinishwa kuwa katika Shirika moja na mwathirika ili kuwa msimamizi aliyepewa.
Ili akaunti isiyoidhinishwa iweze kuwa msimamizi aliyepewa, inahitajika pia kwamba baada ya msimamizi halali aliyepewa kuzuiwa, na kabla ya akaunti isiyoidhinishwa kuwezeshwa kama msimamizi aliyepewa, msimamizi halali lazima aondolewe kama msimamizi aliyepewa kutoka shirika. Hii inaweza kufanywa kwa amri ifuatayo (organizations:DeregisterDelegatedAdministrator ruhusa inahitajika): aws organizations deregister-delegated-administrator --account-id <legit-account-id> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)
Madhara Yanayoweza Kutokea: Kuingiliwa kwa usimamizi wa usalama.
inspector2:AssociateMember, inspector2:DisassociateMember
inspector2:AssociateMember, inspector2:DisassociateMemberMshambuliaji anaweza kubadilisha ushirikiano wa akaunti za wanachama ndani ya shirika la Amazon Inspector. Kwa kuunganisha akaunti zisizoidhinishwa au kuondoa zile halali, mshambuliaji anaweza kudhibiti ni akaunti zipi zinazojumuishwa katika skani za usalama na ripoti. Hii inaweza kusababisha akaunti muhimu kutengwa kutoka kwa ufuatiliaji wa usalama, ikimuwezesha mshambuliaji kutumia udhaifu katika akaunti hizo bila kugundulika.
Kitendo hiki kinahitaji kufanywa na msimamizi aliyepewa mamlaka.
Madhara Yanayoweza Kutokea: Kutengwa kwa akaunti muhimu kutoka kwa skana za usalama, kuruhusu matumizi mabaya yasiyogundulika ya udhaifu.
inspector2:Disable, (inspector2:Enable & iam:CreateServiceLinkedRole)
inspector2:Disable, (inspector2:Enable & iam:CreateServiceLinkedRole)Mshambuliaji mwenye ruhusa ya inspector2:Disable angeweza kuzima skana za usalama kwenye aina maalum za rasilimali (EC2, ECR, Lambda, Lambda code) juu ya akaunti zilizotajwa, na kuacha sehemu za mazingira ya AWS zisizofuatiliwa na hatarini kwa mashambulizi. Zaidi ya hayo, kutokana na ruhusa za inspector2:Enable & iam:CreateServiceLinkedRole, mshambuliaji angeweza kurejesha skana kwa kuchagua ili kuepuka kugundulika kwa usanidi wa kushangaza.
Kitendo hiki kinahitaji kufanywa na msimamizi aliyepewa mamlaka.
Madhara Yanayoweza Kutokea: Uundaji wa maeneo yasiyoonekana katika ufuatiliaji wa usalama.
inspector2:UpdateOrganizationConfiguration
inspector2:UpdateOrganizationConfigurationMshambuliaji mwenye ruhusa hii angeweza kuboresha mipangilio ya shirika lako la Amazon Inspector, ikihusisha vipengele vya skanning vya default vilivyowekwa kwa akaunti mpya za wanachama.
Kitendo hiki kinahitaji kufanywa na msimamizi aliyeteuliwa.
Madhara Yanayoweza Kutokea: Badilisha sera za skana za usalama na mipangilio kwa shirika.
inspector2:TagResource, inspector2:UntagResource
inspector2:TagResource, inspector2:UntagResourceMshambuliaji anaweza kubadilisha lebo kwenye rasilimali za AWS Inspector, ambazo ni muhimu kwa kupanga, kufuatilia, na kuendesha tathmini za usalama. Kwa kubadilisha au kuondoa lebo, mshambuliaji anaweza kwa urahisi kuficha udhaifu kutoka kwa skana za usalama, kuharibu ripoti za ufuatiliaji, na kuingilia mchakato wa kurekebisha kiotomatiki, na kusababisha matatizo ya usalama yasiyodhibitiwa na kuathiri uaminifu wa mfumo.
Madhara Yanayoweza Kutokea: Kuficha udhaifu, kuingiliwa kwa ripoti za ufuatiliaji, kuingiliwa kwa automatisering ya usalama na kuingiliwa kwa ugawaji wa gharama.
Marejeleo
Last updated