AWS - Inspector Enum
AWS - Inspector Enum
Lernen Sie AWS-Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen Sie GCP-Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Inspector
Amazon Inspector ist ein fortschrittlicher, automatisierter Schwachstellen-Management-Service, der entwickelt wurde, um die Sicherheit Ihrer AWS-Umgebung zu verbessern. Dieser Service scannt kontinuierlich Amazon EC2-Instanzen, Container-Images in Amazon ECR, Amazon ECS und AWS Lambda-Funktionen auf Schwachstellen und unbeabsichtigte Netzwerkexpositionen. Durch die Nutzung einer umfangreichen Schwachstellen-Intelligenzdatenbank bietet Amazon Inspector detaillierte Ergebnisse, einschließlich Schweregraden und Empfehlungen zur Fehlerbehebung, um Organisationen dabei zu helfen, Sicherheitsrisiken proaktiv zu identifizieren und anzugehen. Dieser umfassende Ansatz gewährleistet eine gestärkte Sicherheitsposition über verschiedene AWS-Services hinweg und unterstützt die Einhaltung und Risikomanagement.
Schlüsselelemente
Ergebnisse
Ergebnisse in Amazon Inspector sind detaillierte Berichte über Schwachstellen und Expositionen, die während des Scans von EC2-Instanzen, ECR-Repositories oder Lambda-Funktionen entdeckt wurden. Basierend auf ihrem Zustand werden Ergebnisse kategorisiert als:
Aktiv: Die Entdeckung wurde nicht behoben.
Geschlossen: Die Entdeckung wurde behoben.
Unterdrückt: Die Entdeckung wurde aufgrund einer oder mehrerer Unterdrückungsregeln mit diesem Status markiert.
Ergebnisse werden auch in die folgenden drei Typen kategorisiert:
Paket: Diese Ergebnisse beziehen sich auf Schwachstellen in Softwarepaketen, die auf Ihren Ressourcen installiert sind. Beispiele sind veraltete Bibliotheken oder Abhängigkeiten mit bekannten Sicherheitsproblemen.
Code: Diese Kategorie umfasst Schwachstellen im Code von Anwendungen, die auf Ihren AWS-Ressourcen ausgeführt werden. Häufige Probleme sind Codierungsfehler oder unsichere Praktiken, die zu Sicherheitsverletzungen führen könnten.
Netzwerk: Netzwerk-Ergebnisse identifizieren potenzielle Expositionen in Netzwerkkonfigurationen, die von Angreifern ausgenutzt werden könnten. Dazu gehören offene Ports, unsichere Netzwerkprotokolle und fehlerhaft konfigurierte Sicherheitsgruppen.
Filter und Unterdrückungsregeln
Filter und Unterdrückungsregeln in Amazon Inspector helfen dabei, Ergebnisse zu verwalten und zu priorisieren. Filter ermöglichen es Ihnen, Ergebnisse basierend auf spezifischen Kriterien wie Schweregrad oder Ressourcentyp zu verfeinern. Unterdrückungsregeln ermöglichen es Ihnen, bestimmte Ergebnisse zu unterdrücken, die als geringes Risiko angesehen werden, bereits behoben wurden oder aus einem anderen wichtigen Grund, um zu verhindern, dass sie Ihre Sicherheitsberichte überlasten, und es Ihnen ermöglichen, sich auf kritischere Probleme zu konzentrieren.
Software-Bestandsliste (SBOM)
Eine Software-Bestandsliste (SBOM) in Amazon Inspector ist eine exportierbare verschachtelte Bestandsliste, die alle Komponenten innerhalb eines Softwarepakets, einschließlich Bibliotheken und Abhängigkeiten, detailliert auflistet. SBOMs helfen dabei, Transparenz in die Software-Lieferkette zu bringen, was eine bessere Schwachstellenverwaltung und Einhaltung ermöglicht. Sie sind entscheidend für die Identifizierung und Minderung von Risiken im Zusammenhang mit Open-Source- und Drittanbieter-Softwarekomponenten.
Schlüsselfunktionen
Export von Ergebnissen
Amazon Inspector bietet die Möglichkeit, Ergebnisse in Amazon S3-Buckets, Amazon EventBridge und AWS Security Hub zu exportieren, was es Ihnen ermöglicht, detaillierte Berichte über identifizierte Schwachstellen und Expositionen für weitere Analysen oder den Austausch zu einem bestimmten Datum und Zeitpunkt zu generieren. Diese Funktion unterstützt verschiedene Ausgabeformate wie CSV und JSON, was die Integration mit anderen Tools und Systemen erleichtert. Die Exportfunktionalität ermöglicht die Anpassung der in den Berichten enthaltenen Daten, sodass Sie Ergebnisse basierend auf spezifischen Kriterien wie Schweregrad, Ressourcentyp oder Datumsbereich filtern und standardmäßig alle Ihre Ergebnisse im aktuellen AWS-Region mit einem aktiven Status einschließen können.
Beim Exportieren von Ergebnissen ist ein Schlüsselverwaltungsdienst (KMS) erforderlich, um die Daten während des Exports zu verschlüsseln. KMS-Schlüssel stellen sicher, dass die exportierten Ergebnisse vor unbefugtem Zugriff geschützt sind und bieten eine zusätzliche Sicherheitsebene für sensible Schwachstelleninformationen.
Scannen von Amazon EC2-Instanzen
Amazon Inspector bietet robuste Scannmöglichkeiten für Amazon EC2-Instanzen, um Schwachstellen und Sicherheitsprobleme zu erkennen. Inspector vergleicht extrahierte Metadaten von der EC2-Instanz mit Regeln aus Sicherheitswarnungen, um Paketschwachstellen und Netzwerkzugriffsprobleme zu identifizieren. Diese Scans können durch agentenbasierte oder agentenlose Methoden durchgeführt werden, abhängig von der Konfiguration der Scanmodus-Einstellungen Ihres Kontos.
Agentenbasiert: Verwendet den AWS Systems Manager (SSM)-Agenten für eingehende Scans. Diese Methode ermöglicht eine umfassende Datensammlung und -analyse direkt von der Instanz.
Agentenlos: Bietet eine leichtgewichtige Alternative, die keine Installation eines Agenten auf der Instanz erfordert, indem ein EBS-Snapshot von jedem Volume der EC2-Instanz erstellt wird, nach Schwachstellen gesucht und dann gelöscht wird; Nutzung der vorhandenen AWS-Infrastruktur für das Scannen.
Der Scanmodus bestimmt, welche Methode für die Durchführung von EC2-Scans verwendet wird:
Agentenbasiert: Beinhaltet die Installation des SSM-Agenten auf EC2-Instanzen für eine gründliche Inspektion.
Hybrid-Scannen: Kombiniert agentenbasierte und agentenlose Methoden, um die Abdeckung zu maximieren und die Leistungsauswirkungen zu minimieren. Bei den EC2-Instanzen, auf denen der SSM-Agent installiert ist, führt Inspector einen agentenbasierten Scan durch, und bei denen, auf denen kein SSM-Agent vorhanden ist, wird ein agentenloser Scan durchgeführt.
Eine weitere wichtige Funktion ist die gründliche Inspektion für EC2-Linux-Instanzen. Diese Funktion bietet eine gründliche Analyse der Software und Konfiguration von EC2-Linux-Instanzen und bietet detaillierte Schwachstellenbewertungen, einschließlich Betriebssystemschwachstellen, Anwendungsschwachstellen und Konfigurationsfehler, um eine umfassende Sicherheitsbewertung sicherzustellen. Dies wird durch die Inspektion von benutzerdefinierten Pfaden und all ihren Unterverzeichnissen erreicht. Standardmäßig wird Amazon Inspector die folgenden Pfade scannen, aber jedes Mitgliedskonto kann bis zu 5 weitere benutzerdefinierte Pfade definieren, und jeder delegierte Administrator bis zu 10:
/usr/lib
/usr/lib64
/usr/local/lib
/usr/local/lib64
Scannen von Amazon ECR-Container-Images
Amazon Inspector bietet robuste Scannmöglichkeiten für Amazon Elastic Container Registry (ECR)-Container-Images, um sicherzustellen, dass Paketschwachstellen effizient erkannt und verwaltet werden.
Grundlegendes Scannen: Dies ist ein schneller und leichtgewichtiger Scan, der bekannte OS-Paketschwachstellen in Container-Images mithilfe eines Standardsets von Regeln aus dem Open-Source-Projekt Clair identifiziert. Mit dieser Scankonfiguration werden Ihre Repositorien beim Push oder bei manuellen Scans gescannt.
Erweitertes Scannen: Diese Option fügt dem Push-Scan die kontinuierliche Scannfunktion hinzu. Das erweiterte Scannen taucht tiefer in die Schichten jedes Container-Images ein, um Schwachstellen in OS-Paketen und Programmiersprachenpaketen mit höherer Genauigkeit zu identifizieren. Es analysiert sowohl das Basisimage als auch alle zusätzlichen Schichten und bietet einen umfassenden Überblick über potenzielle Sicherheitsprobleme.
Scannen von Amazon Lambda-Funktionen
Amazon Inspector bietet umfassende Scannmöglichkeiten für AWS Lambda-Funktionen und deren Schichten, um die Sicherheit und Integrität serverloser Anwendungen zu gewährleisten. Inspector bietet zwei Arten von Scans für Lambda-Funktionen:
Standard-Scannen von Lambda: Diese Standardfunktion identifiziert Software-Schwachstellen in den Anwendungspaketabhängigkeiten, die Ihrer Lambda-Funktion und Schichten hinzugefügt wurden. Wenn Ihre Funktion beispielsweise eine Version einer Bibliothek wie python-jwt mit einer bekannten Schwachstelle verwendet, wird eine Entdeckung generiert.
Code-Scannen von Lambda: Analysiert benutzerdefinierten Anwendungscode auf Sicherheitsprobleme und erkennt Schwachstellen wie Injektionsfehler, Datenlecks, schwache Verschlüsselung und fehlende Verschlüsselung. Es erfasst Codeausschnitte, die die erkannten Schwachstellen hervorheben, wie z. B. hartcodierte Anmeldeinformationen. Die Ergebnisse enthalten detaillierte Empfehlungen zur Fehlerbehebung und Codeausschnitte zur Behebung der Probleme.
Center for Internet Security (CIS) Scans
Amazon Inspector enthält CIS-Scans, um die Betriebssysteme von Amazon EC2-Instanzen mit den Empfehlungen bewährter Verfahren des Center for Internet Security (CIS) zu benchmarken. Diese Scans stellen sicher, dass Konfigurationen den Sicherheitsgrundlinien der Industriestandards entsprechen.
Konfiguration: CIS-Scans bewerten, ob Systemkonfigurationen spezifischen CIS Benchmark-Empfehlungen entsprechen, wobei jeder Check mit einer CIS-Check-ID und einem Titel verknüpft ist.
Ausführung: Scans werden basierend auf Instanz-Tags und definierten Zeitplänen durchgeführt oder geplant.
Ergebnisse: Die Ergebnisse nach dem Scan zeigen an, welche Checks bestanden, übersprungen oder fehlgeschlagen sind und geben Einblick in die Sicherheitslage jeder Instanz.
Enumeration
Post-Exploitation
Aus der Perspektive eines Angreifers kann dieser Dienst dem Angreifer helfen, Schwachstellen und Netzwerkexpositionen zu finden, die ihm helfen könnten, andere Instanzen/Container zu kompromittieren.
Ein Angreifer könnte jedoch auch daran interessiert sein, diesen Dienst zu stören, damit das Opfer Schwachstellen (alle oder bestimmte) nicht sehen kann.
inspector2:CreateFindingsReport
, inspector2:CreateSBOMReport
inspector2:CreateFindingsReport
, inspector2:CreateSBOMReport
Ein Angreifer könnte detaillierte Berichte über Schwachstellen oder Software-Bestandsaufnahmen (SBOMs) generieren und aus Ihrer AWS-Umgebung exfiltrieren. Diese Informationen könnten ausgenutzt werden, um spezifische Schwächen, veraltete Software oder unsichere Abhängigkeiten zu identifizieren, die gezielte Angriffe ermöglichen.
Das folgende Beispiel zeigt, wie alle aktiven Ergebnisse von Amazon Inspector in einen von einem Angreifer kontrollierten Amazon S3-Bucket mit einem von einem Angreifer kontrollierten Amazon KMS-Schlüssel exfiltriert werden können:
Erstellen Sie einen Amazon S3-Bucket und fügen Sie eine Richtlinie hinzu, damit er vom Opfer-Amazon Inspector aus zugänglich ist:
Erstellen Sie einen Amazon KMS-Schlüssel und fügen Sie eine Richtlinie hinzu, damit er vom Amazon Inspector des Opfers verwendet werden kann:
Führen Sie den Befehl aus, um den Befundbericht zu erstellen und ihn zu exfiltrieren:
Potenzielle Auswirkungen: Generierung und Exfiltration von detaillierten Schwachstellen- und Softwareberichten, um Einblicke in spezifische Schwachstellen und Sicherheitsschwächen zu gewinnen.
inspector2:CancelFindingsReport
, inspector2:CancelSbomExport
inspector2:CancelFindingsReport
, inspector2:CancelSbomExport
Ein Angreifer könnte die Generierung des angegebenen Befundberichts oder SBOM-Berichts abbrechen, was verhindert, dass Sicherheitsteams rechtzeitig Informationen zu Schwachstellen und Software-Bestandsaufnahmen erhalten, und die Erkennung und Behebung von Sicherheitsproblemen verzögern.
Potenzielle Auswirkungen: Störung der Sicherheitsüberwachung und Verhinderung der rechtzeitigen Erkennung und Behebung von Sicherheitsproblemen.
inspector2:CreateFilter
, inspector2:UpdateFilter
, inspector2:DeleteFilter
inspector2:CreateFilter
, inspector2:UpdateFilter
, inspector2:DeleteFilter
Ein Angreifer mit diesen Berechtigungen könnte die Filterregeln manipulieren, die bestimmen, welche Schwachstellen und Sicherheitsprobleme gemeldet oder unterdrückt werden (wenn die Aktion auf SUPPRESS gesetzt ist, würde eine Unterdrückungsregel erstellt). Dies könnte kritische Schwachstellen vor Sicherheitsadministratoren verbergen und es einfacher machen, diese Schwächen ohne Entdeckung auszunutzen. Indem wichtige Filter geändert oder entfernt werden, könnte ein Angreifer auch durch Überfluten des Systems mit irrelevanten Ergebnissen Lärm erzeugen, was eine effektive Sicherheitsüberwachung und Reaktion behindert.
Potenzielle Auswirkungen: Verbergen oder Unterdrücken von kritischen Schwachstellen oder Überfluten des Systems mit irrelevanten Ergebnissen.
inspector2:DisableDelegatedAdminAccount
, (inspector2:EnableDelegatedAdminAccount
& organizations:ListDelegatedAdministrators
& organizations:EnableAWSServiceAccess
& iam:CreateServiceLinkedRole
)
inspector2:DisableDelegatedAdminAccount
, (inspector2:EnableDelegatedAdminAccount
& organizations:ListDelegatedAdministrators
& organizations:EnableAWSServiceAccess
& iam:CreateServiceLinkedRole
)Ein Angreifer könnte die Sicherheitsmanagementstruktur erheblich stören.
Durch Deaktivieren des delegierten Admin-Kontos könnte der Angreifer das Sicherheitsteam daran hindern, auf Amazon Inspector-Einstellungen und Berichte zuzugreifen und diese zu verwalten.
Das Aktivieren eines nicht autorisierten Admin-Kontos würde es einem Angreifer ermöglichen, Sicherheitskonfigurationen zu kontrollieren, möglicherweise Scans zu deaktivieren oder Einstellungen zu ändern, um bösartige Aktivitäten zu verbergen.
Es ist erforderlich, dass das nicht autorisierte Konto in derselben Organisation wie das Opfer ist, um zum delegierten Administrator zu werden.
Damit das nicht autorisierte Konto zum delegierten Administrator wird, ist es auch erforderlich, dass nachdem der legitime delegierte Administrator deaktiviert wurde und bevor das nicht autorisierte Konto als delegierter Administrator aktiviert wird, der legitime Administrator als delegierter Administrator von der Organisation abgemeldet werden muss. Dies kann mit dem folgenden Befehl durchgeführt werden (organizations:DeregisterDelegatedAdministrator
Berechtigung erforderlich): aws organizations deregister-delegated-administrator --account-id <legit-account-id> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)
Potenzielle Auswirkung: Störung des Sicherheitsmanagements.
inspector2:AssociateMember
, inspector2:DisassociateMember
inspector2:AssociateMember
, inspector2:DisassociateMember
Ein Angreifer könnte die Zuordnung von Mitgliedskonten innerhalb einer Amazon Inspector-Organisation manipulieren. Indem er nicht autorisierte Konten zuordnet oder legitime Konten trennt, könnte ein Angreifer kontrollieren, welche Konten in Sicherheitsscans und Berichten enthalten sind. Dies könnte dazu führen, dass wichtige Konten von der Sicherheitsüberwachung ausgeschlossen werden, was es dem Angreifer ermöglichen würde, Schwachstellen in diesen Konten auszunutzen, ohne entdeckt zu werden.
Diese Aktion muss vom delegierten Administrator durchgeführt werden.
Potenzielle Auswirkungen: Ausschluss wichtiger Konten von Sicherheitsprüfungen, was eine unentdeckte Ausnutzung von Schwachstellen ermöglicht.
inspector2:Deaktivieren
, (inspector2:Aktivieren
& iam:CreateServiceLinkedRole
)
inspector2:Deaktivieren
, (inspector2:Aktivieren
& iam:CreateServiceLinkedRole
)Ein Angreifer mit der Berechtigung inspector2:Deaktivieren
könnte Sicherheitsprüfungen für bestimmte Ressourcentypen (EC2, ECR, Lambda, Lambda-Code) über die angegebenen Konten deaktivieren, wodurch Teile der AWS-Umgebung nicht überwacht und anfällig für Angriffe werden. Darüber hinaus könnte ein Angreifer mit den Berechtigungen inspector2:Aktivieren
& iam:CreateServiceLinkedRole
dann selektiv Scans wieder aktivieren, um die Erkennung verdächtiger Konfigurationen zu vermeiden.
Diese Aktion muss vom delegierten Administrator durchgeführt werden.
Potenzielle Auswirkung: Schaffung von blinden Flecken in der Sicherheitsüberwachung.
inspector2:UpdateOrganizationConfiguration
inspector2:UpdateOrganizationConfiguration
Ein Angreifer mit dieser Berechtigung könnte die Konfigurationen für Ihre Amazon Inspector-Organisation aktualisieren und somit die standardmäßig aktivierten Scan-Funktionen für neue Mitgliedskonten beeinflussen.
Diese Aktion muss vom delegierten Administrator durchgeführt werden.
Potenzielle Auswirkungen: Sicherheits-Scan-Richtlinien und Konfigurationen für die Organisation ändern.
inspector2:TagResource
, inspector2:UntagResource
inspector2:TagResource
, inspector2:UntagResource
Ein Angreifer könnte Tags auf AWS Inspector-Ressourcen manipulieren, die entscheidend für die Organisation, Verfolgung und Automatisierung von Sicherheitsbewertungen sind. Durch Ändern oder Entfernen von Tags könnte ein Angreifer potenziell Sicherheitslücken vor Sicherheitsscans verbergen, die Compliance-Berichterstattung stören und automatisierte Behebungsprozesse beeinträchtigen, was zu nicht überprüften Sicherheitsproblemen und beeinträchtigter Systemintegrität führen könnte.
Potenzielle Auswirkungen: Verbergen von Schwachstellen, Störung der Compliance-Berichterstattung, Störung der Sicherheitsautomatisierung und Störung der Kostenzuweisung.
Referenzen
Lernen Sie & üben Sie AWS-Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Lernen Sie & üben Sie GCP-Hacking:
HackTricks Training GCP Red Team Expert (GRTE)
Last updated