AWS - Inspector Enum
AWS - Inspector Enum
Inspector
Amazon Inspector est un service avancé de gestion automatisée des vulnérabilités conçu pour renforcer la sécurité de votre environnement AWS. Ce service analyse en continu les instances Amazon EC2, les images de conteneurs dans Amazon ECR, Amazon ECS et les fonctions AWS Lambda à la recherche de vulnérabilités et d'expositions réseau non intentionnelles. En exploitant une base de données robuste sur les vulnérabilités, Amazon Inspector fournit des résultats détaillés, y compris les niveaux de gravité et les recommandations de remédiation, aidant les organisations à identifier et à traiter proactivement les risques de sécurité. Cette approche globale garantit une posture de sécurité renforcée sur divers services AWS, contribuant à la conformité et à la gestion des risques.
Éléments clés
Résultats
Les résultats dans Amazon Inspector sont des rapports détaillés sur les vulnérabilités et les expositions découvertes lors de l'analyse des instances EC2, des référentiels ECR ou des fonctions Lambda. En fonction de leur état, les résultats sont catégorisés comme suit :
Actif : Le résultat n'a pas été corrigé.
Fermé : Le résultat a été corrigé.
Supprimé : Le résultat a été marqué avec cet état en raison d'une ou de plusieurs règles de suppression.
Les résultats sont également catégorisés dans les trois types suivants :
Package : Ces résultats concernent les vulnérabilités des packages logiciels installés sur vos ressources. Les exemples incluent des bibliothèques obsolètes ou des dépendances présentant des problèmes de sécurité connus.
Code : Cette catégorie inclut les vulnérabilités trouvées dans le code des applications s'exécutant sur vos ressources AWS. Les problèmes courants sont les erreurs de codage ou les pratiques non sécurisées pouvant entraîner des violations de sécurité.
Réseau : Les résultats réseau identifient les expositions potentielles dans les configurations réseau pouvant être exploitées par des attaquants. Celles-ci incluent les ports ouverts, les protocoles réseau non sécurisés et les groupes de sécurité mal configurés.
Filtres et règles de suppression
Les filtres et les règles de suppression dans Amazon Inspector aident à gérer et à prioriser les résultats. Les filtres vous permettent de affiner les résultats en fonction de critères spécifiques, tels que la gravité ou le type de ressource. Les règles de suppression vous permettent de supprimer certains résultats considérés comme à faible risque, déjà atténués, ou pour toute autre raison importante, les empêchant de surcharger vos rapports de sécurité et vous permettant de vous concentrer sur des problèmes plus critiques.
Liste de matériel logiciel (SBOM)
Une liste de matériel logiciel (SBOM) dans Amazon Inspector est une liste d'inventaire imbriquée exportable détaillant tous les composants d'un package logiciel, y compris les bibliothèques et les dépendances. Les SBOM aident à fournir une transparence dans la chaîne d'approvisionnement logiciel, permettant une meilleure gestion des vulnérabilités et de la conformité. Ils sont cruciaux pour identifier et atténuer les risques associés aux composants logiciels open source et tiers.
Fonctionnalités clés
Exportation des résultats
Amazon Inspector offre la possibilité d'exporter les résultats vers des compartiments Amazon S3, Amazon EventBridge et AWS Security Hub, ce qui vous permet de générer des rapports détaillés sur les vulnérabilités et les expositions identifiées pour une analyse ultérieure ou un partage à une date et une heure spécifiques. Cette fonctionnalité prend en charge divers formats de sortie tels que CSV et JSON, facilitant l'intégration avec d'autres outils et systèmes. La fonction d'exportation permet de personnaliser les données incluses dans les rapports, vous permettant de filtrer les résultats en fonction de critères spécifiques tels que la gravité, le type de ressource ou la plage de dates, et d'inclure par défaut tous vos résultats dans la région AWS actuelle avec un statut Actif.
Lors de l'exportation des résultats, une clé du service de gestion des clés (KMS) est nécessaire pour chiffrer les données lors de l'exportation. Les clés KMS garantissent que les résultats exportés sont protégés contre tout accès non autorisé, offrant une couche supplémentaire de sécurité pour les informations sensibles sur les vulnérabilités.
Analyse des instances Amazon EC2
Amazon Inspector offre des capacités d'analyse robustes pour les instances Amazon EC2 afin de détecter les vulnérabilités et les problèmes de sécurité. Inspector compare les métadonnées extraites de l'instance EC2 aux règles des avis de sécurité afin de produire des vulnérabilités de package et des problèmes de portée réseau. Ces analyses peuvent être effectuées via des méthodes basées sur un agent ou sans agent, en fonction de la configuration des paramètres de mode d'analyse de votre compte.
Basé sur un agent : Utilise l'agent AWS Systems Manager (SSM) pour effectuer des analyses approfondies. Cette méthode permet une collecte et une analyse complètes des données directement depuis l'instance.
Sans agent : Fournit une alternative légère qui ne nécessite pas l'installation d'un agent sur l'instance, créant un instantané EBS de chaque volume de l'instance EC2, recherchant des vulnérabilités, puis le supprimant ; en tirant parti de l'infrastructure AWS existante pour l'analyse.
Le mode d'analyse détermine la méthode utilisée pour effectuer les analyses EC2 :
Basé sur un agent : Implique l'installation de l'agent SSM sur les instances EC2 pour une inspection approfondie.
Analyse hybride : Combine à la fois les méthodes basées sur un agent et sans agent pour maximiser la couverture et minimiser l'impact sur les performances. Dans les instances EC2 où l'agent SSM est installé, Inspector effectuera une analyse basée sur un agent, et pour celles où il n'y a pas d'agent SSM, l'analyse effectuée sera sans agent.
Une autre fonctionnalité importante est l'inspection approfondie des instances EC2 Linux. Cette fonctionnalité offre une analyse approfondie du logiciel et de la configuration des instances EC2 Linux, fournissant des évaluations détaillées des vulnérabilités, y compris les vulnérabilités du système d'exploitation, les vulnérabilités des applications et les mauvaises configurations, garantissant une évaluation complète de la sécurité. Cela est réalisé grâce à l'inspection des chemins personnalisés et de tous leurs sous-répertoires. Par défaut, Amazon Inspector analysera les éléments suivants, mais chaque compte membre peut définir jusqu'à 5 autres chemins personnalisés, et chaque administrateur délégué jusqu'à 10 :
/usr/lib
/usr/lib64
/usr/local/lib
/usr/local/lib64
Analyse des images de conteneurs Amazon ECR
Amazon Inspector offre des capacités d'analyse robustes pour les images de conteneurs du registre de conteneurs élastique Amazon (ECR), garantissant que les vulnérabilités des packages sont détectées et gérées efficacement.
Analyse de base : Il s'agit d'une analyse rapide et légère qui identifie les vulnérabilités connues des packages OS dans les images de conteneurs en utilisant un ensemble standard de règles du projet open-source Clair. Avec cette configuration d'analyse, vos référentiels seront analysés lors de l'envoi, ou en effectuant des analyses manuelles.
Analyse améliorée : Cette option ajoute la fonctionnalité d'analyse continue en plus de l'analyse à l'envoi. L'analyse améliorée plonge plus profondément dans les couches de chaque image de conteneur pour identifier les vulnérabilités dans les packages OS et dans les packages de langages de programmation avec une précision accrue. Elle analyse à la fois l'image de base et toutes les couches supplémentaires, offrant une vue complète des problèmes de sécurité potentiels.
Analyse des fonctions Lambda Amazon
Amazon Inspector inclut des capacités d'analyse complètes pour les fonctions Lambda AWS et leurs couches, garantissant la sécurité et l'intégrité des applications sans serveur. Inspector propose deux types d'analyse pour les fonctions Lambda :
Analyse standard Lambda : Cette fonction par défaut identifie les vulnérabilités logicielles dans les dépendances du package d'application ajoutées à votre fonction Lambda et à ses couches. Par exemple, si votre fonction utilise une version d'une bibliothèque comme python-jwt avec une vulnérabilité connue, elle génère un résultat.
Analyse du code Lambda : Analyse le code d'application personnalisé à la recherche de problèmes de sécurité, détectant des vulnérabilités telles que des failles d'injection, des fuites de données, une cryptographie faible et une absence de chiffrement. Elle capture des extraits de code mettant en évidence les vulnérabilités détectées, telles que des informations d'identification codées en dur. Les résultats incluent des suggestions de remédiation détaillées et des extraits de code pour corriger les problèmes.
Scans du Center for Internet Security (CIS)
Amazon Inspector inclut des scans CIS pour évaluer les systèmes d'exploitation des instances Amazon EC2 par rapport aux recommandations de bonnes pratiques du Center for Internet Security (CIS). Ces scans garantissent que les configurations respectent les référentiels de sécurité standard de l'industrie.
Configuration : Les scans CIS évaluent si les configurations système respectent des recommandations spécifiques du référentiel CIS, chaque vérification étant liée à un ID et un titre de vérification CIS.
Exécution : Les scans sont effectués ou planifiés en fonction des balises d'instance et des plannings définis.
Résultats : Les résultats post-scan indiquent quelles vérifications ont réussi, été ignorées ou ont échoué, fournissant un aperçu de la posture de sécurité de chaque instance.
Énumération
Post Exploitation
D'un point de vue d'un attaquant, ce service peut aider l'attaquant à trouver des vulnérabilités et des expositions réseau qui pourraient l'aider à compromettre d'autres instances/conteneurs.
Cependant, un attaquant pourrait également être intéressé à perturber ce service afin que la victime ne puisse pas voir les vulnérabilités (toutes ou spécifiques).
inspector2:CreateFindingsReport
, inspector2:CreateSBOMReport
inspector2:CreateFindingsReport
, inspector2:CreateSBOMReport
Un attaquant pourrait générer des rapports détaillés sur les vulnérabilités ou les listes de composants logiciels (SBOM) et les exfiltrer de votre environnement AWS. Ces informations pourraient être exploitées pour identifier des faiblesses spécifiques, des logiciels obsolètes ou des dépendances non sécurisées, permettant des attaques ciblées.
Le exemple suivant montre comment exfiltrer tous les résultats actifs d'Amazon Inspector vers un Amazon S3 Bucket contrôlé par l'attaquant avec une clé Amazon KMS contrôlée par l'attaquant :
Créez un Amazon S3 Bucket et attachez une politique pour qu'il soit accessible depuis Amazon Inspector de la victime :
Créez une clé Amazon KMS et attachez une politique pour qu'elle puisse être utilisée par Amazon Inspector de la victime :
Exécutez la commande pour créer le rapport des résultats en l'exfiltrant :
Impact potentiel : Génération et exfiltration de rapports détaillés sur les vulnérabilités et les logiciels, permettant d'obtenir des informations sur des vulnérabilités spécifiques et des faiblesses de sécurité.
inspector2:CancelFindingsReport
, inspector2:CancelSbomExport
inspector2:CancelFindingsReport
, inspector2:CancelSbomExport
Un attaquant pourrait annuler la génération du rapport de constatations spécifié ou du rapport SBOM, empêchant les équipes de sécurité de recevoir des informations en temps opportun sur les vulnérabilités et les listes de matériaux logiciels (SBOM), retardant ainsi la détection et la remédiation des problèmes de sécurité.
Impact potentiel : Perturbation de la surveillance de la sécurité et prévention de la détection et de la résolution opportunes des problèmes de sécurité.
inspector2:CreateFilter
, inspector2:UpdateFilter
, inspector2:DeleteFilter
inspector2:CreateFilter
, inspector2:UpdateFilter
, inspector2:DeleteFilter
Un attaquant avec ces autorisations serait capable de manipuler les règles de filtrage qui déterminent quelles vulnérabilités et problèmes de sécurité sont signalés ou supprimés (si l'action est définie sur SUPPRESS, une règle de suppression serait créée). Cela pourrait cacher des vulnérabilités critiques aux administrateurs de sécurité, facilitant l'exploitation de ces failles sans être détecté. En modifiant ou en supprimant des filtres importants, un attaquant pourrait également créer du bruit en inondant le système de résultats non pertinents, entravant ainsi la surveillance et la réponse efficaces en matière de sécurité.
Impact potentiel: Dissimulation ou suppression de vulnérabilités critiques, ou saturation du système avec des résultats non pertinents.
inspector2:DisableDelegatedAdminAccount
, (inspector2:EnableDelegatedAdminAccount
& organizations:ListDelegatedAdministrators
& organizations:EnableAWSServiceAccess
& iam:CreateServiceLinkedRole
)
inspector2:DisableDelegatedAdminAccount
, (inspector2:EnableDelegatedAdminAccount
& organizations:ListDelegatedAdministrators
& organizations:EnableAWSServiceAccess
& iam:CreateServiceLinkedRole
)Un attaquant pourrait perturber significativement la structure de gestion de la sécurité.
En désactivant le compte administrateur délégué, l'attaquant pourrait empêcher l'équipe de sécurité d'accéder et de gérer les paramètres et rapports d'Amazon Inspector.
Activer un compte administrateur non autorisé permettrait à un attaquant de contrôler les configurations de sécurité, potentiellement en désactivant les analyses ou en modifiant les paramètres pour masquer des activités malveillantes.
Il est nécessaire que le compte non autorisé soit dans la même Organisation que la victime afin de devenir l'administrateur délégué.
Pour que le compte non autorisé devienne l'administrateur délégué, il est également nécessaire qu'après la désactivation de l'administrateur délégué légitime, et avant que le compte non autorisé ne soit activé en tant qu'administrateur délégué, l'administrateur légitime soit désenregistré en tant qu'administrateur délégué de l'organisation. Cela peut être fait avec la commande suivante (permission requise organizations:DeregisterDelegatedAdministrator
): aws organizations deregister-delegated-administrator --account-id <legit-account-id> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)
Impact potentiel: Perturbation de la gestion de la sécurité.
inspector2:AssociateMember
, inspector2:DisassociateMember
inspector2:AssociateMember
, inspector2:DisassociateMember
Un attaquant pourrait manipuler l'association des comptes membres au sein d'une organisation Amazon Inspector. En associant des comptes non autorisés ou en dissociant des comptes légitimes, un attaquant pourrait contrôler quels comptes sont inclus dans les analyses de sécurité et les rapports. Cela pourrait entraîner l'exclusion de comptes critiques de la surveillance de sécurité, permettant à l'attaquant d'exploiter des vulnérabilités dans ces comptes sans être détecté.
Cette action doit être effectuée par l'administrateur délégué.
Impact potentiel: Exclusion de comptes clés des analyses de sécurité, permettant l'exploitation de vulnérabilités non détectées.
inspector2:Disable
, (inspector2:Enable
& iam:CreateServiceLinkedRole
)
inspector2:Disable
, (inspector2:Enable
& iam:CreateServiceLinkedRole
)Un attaquant ayant l'autorisation inspector2:Disable
pourrait désactiver les analyses de sécurité sur des types de ressources spécifiques (EC2, ECR, Lambda, code Lambda) sur les comptes spécifiés, laissant des parties de l'environnement AWS non surveillées et vulnérables aux attaques. De plus, en possédant les autorisations inspector2:Enable
& iam:CreateServiceLinkedRole
, un attaquant pourrait ensuite réactiver sélectivement les analyses pour éviter la détection de configurations suspectes.
Cette action doit être effectuée par l'administrateur délégué.
Impact potentiel: Création de zones aveugles dans la surveillance de la sécurité.
inspector2:UpdateOrganizationConfiguration
inspector2:UpdateOrganizationConfiguration
Un attaquant avec cette autorisation serait capable de mettre à jour les configurations de votre organisation Amazon Inspector, affectant les fonctionnalités de balayage par défaut activées pour les nouveaux comptes membres.
Cette action doit être effectuée par l'administrateur délégué.
Impact potentiel: Modifier les politiques et configurations de balayage de sécurité pour l'organisation.
inspector2:TagResource
, inspector2:UntagResource
inspector2:TagResource
, inspector2:UntagResource
Un attaquant pourrait manipuler les balises sur les ressources AWS Inspector, qui sont essentielles pour organiser, suivre et automatiser les évaluations de sécurité. En modifiant ou en supprimant des balises, un attaquant pourrait potentiellement masquer des vulnérabilités lors des analyses de sécurité, perturber les rapports de conformité et interférer avec les processus de remédiation automatisés, entraînant des problèmes de sécurité non vérifiés et compromettant l'intégrité du système.
Impact potentiel: Dissimulation de vulnérabilités, perturbation des rapports de conformité, perturbation de l'automatisation de la sécurité et perturbation de l'allocation des coûts.
Références
Last updated