AWS - Firewall Manager Enum
Διαχείριση Πυρασφάλειας
Το AWS Firewall Manager διευκολύνει τη διαχείριση και τη συντήρηση του AWS WAF, AWS Shield Advanced, των ομάδων ασφαλείας Amazon VPC και των λιστών ελέγχου πρόσβασης δικτύου (ACLs) της AWS, καθώς και του AWS Network Firewall, του AWS Route 53 Resolver DNS Firewall και των φραγμάτων τρίτων σε πολλαπλούς λογαριασμούς και πόρους. Σας επιτρέπει να διαμορφώσετε τους κανόνες της πυρασφάλειάς σας, τις προστασίες Shield Advanced, τις ομάδες ασφαλείας VPC και τις ρυθμίσεις του Network Firewall μόνο μία φορά, με την υπηρεσία να επιβάλλει αυτόματα αυτούς τους κανόνες και προστασίες σε όλους τους λογαριασμούς και πόρους σας, συμπεριλαμβανομένων των νεοπροστεθέντων.
Η υπηρεσία προσφέρει τη δυνατότητα ομαδοποίησης και προστασίας συγκεκριμένων πόρων μαζί, όπως αυτών που μοιράζονται ένα κοινό ετικέτα ή όλων των διανομών CloudFront σας. Ένα σημαντικό πλεονέκτημα του Firewall Manager είναι η ικανότητά του να επεκτείνει αυτόματα την προστασία σε νεοπροστεθέντες πόρους στον λογαριασμό σας.
Μια ομάδα κανόνων (μια συλλογή κανόνων WAF) μπορεί να ενσωματωθεί σε μια Πολιτική AWS Firewall Manager, η οποία στη συνέχεια συνδέεται με συγκεκριμένους πόρους AWS, όπως οι διανομές CloudFront ή οι ισορροπητές φορτίου εφαρμογών.
Το AWS Firewall Manager παρέχει διαχειριζόμενες λίστες εφαρμογών και πρωτοκόλλων για την απλοποίηση της διαμόρφωσης και διαχείρισης των πολιτικών ομάδων ασφαλείας. Αυτές οι λίστες σάς επιτρέπουν να ορίσετε τα πρωτόκολλα και τις εφαρμογές που επιτρέπονται ή απαγορεύονται από τις πολιτικές σας. Υπάρχουν δύο τύποι διαχειριζόμενων λιστών:
Διαχειριζόμενες λίστες του Firewall Manager: Αυτές οι λίστες περιλαμβάνουν τις FMS-Default-Public-Access-Apps-Allowed, FMS-Default-Protocols-Allowed και FMS-Default-Protocols-Allowed. Διαχειρίζονται από τον Firewall Manager και περιλαμβάνουν εφαρμογές και πρωτόκολλα που χρησιμοποιούνται συχνά και που πρέπει να επιτρέπονται ή να απαγορεύονται στο γενικό κοινό. Δεν είναι δυνατή η επεξεργασία ή διαγραφή τους, ωστόσο, μπορείτε να επιλέξετε την έκδοσή τους.
Προσαρμοσμένες διαχειριζόμενες λίστες: Διαχειρίζεστε αυτές τις λίστες μόνοι σας. Μπορείτε να δημιουργήσετε προσαρμοσμένες λίστες εφαρμογών και πρωτοκόλλων προσαρμοσμένες στις ανάγκες του οργανισμού σας. Σε αντίθεση με τις διαχειριζόμενες λίστες του Firewall Manager, αυτές οι λίστες δεν έχουν εκδόσεις, αλλά έχετε πλήρη έλεγχο επί των προσαρμοσμένων λιστών, επιτρέποντάς σας να τις δημιουργείτε, να τις επεξεργάζεστε και να τις διαγράφετε όπως απαιτείται.
Είναι σημαντικό να σημειωθεί ότι οι πολιτικές του Firewall Manager επιτρέπουν μόνο "Αποκλεισμό" ή "Μέτρηση" ενεργειών για μια ομάδα κανόνων, χωρίς επιλογή "Επιτρέπεται".
Προαπαιτούμενα
Οι ακόλουθες προαπαιτούμενες ενέργειες πρέπει να ολοκληρωθούν πριν συνεχίσετε με τη ρύθμιση του Firewall Manager για να αρχίσετε να προστατεύετε αποτελεσματικά τους πόρους του οργανισμού σας. Αυτά τα βήματα παρέχουν τη θεμελιώδη ρύθμιση που απαιτείται για τον Firewall Manager ώστε να επιβάλει πολιτικές ασφαλείας και να διασφαλίσει τη συμμόρφωση σε όλο το περιβάλλον AWS σας:
Συμμετοχή και ρύθμιση των AWS Organizations: Βεβαιωθείτε ότι ο λογαριασμός AWS σας είναι μέρος του οργανισμού AWS Organizations όπου προγραμματίζεται να εφαρμοστούν οι πολιτικές του AWS Firewall Manager. Αυτό επιτρέπει την κεντρική διαχείριση των πόρων και των πολιτικών σε πολλαπλούς λογαριασμούς AWS εντός του οργανισμού.
Δημιουργία Προεπιλεγμένου Διαχειριστή Λογαριασμού AWS Firewall Manager: Δημιουργήστε έναν προεπιλεγμένο λογαριασμό διαχειριστή ειδικά για τη διαχείριση των πολιτικών ασφαλείας του Firewall Manager. Αυτός ο λογαριασμός θα είναι υπεύθυνος για τη διαμόρφωση και την επιβολή των πολιτικών ασφαλείας σε όλο τον οργανισμό. Μόνο ο λογαριασμός διαχείρισης του οργανισμού μπορεί να δημιουργήσει προεπιλεγμένους λογαριασμούς διαχειριστών του Firewall Manager.
Ενεργοποίηση του AWS Config: Ενεργοποιήστε το AWS Config για να παρέχετε στον Firewall Manager τα απαραίτητα δεδομένα ρύθμισης και εισαγωγές που απαιτούνται για την αποτελεσματική επιβολή των πολιτικών ασφαλείας. Το AWS Config βοηθά στην ανάλυση, ελέγχο, παρακολούθηση και ανάλυση των ρυθμίσεων και των αλλαγών πόρων, διευκολύνοντας την καλύτερη διαχείριση της ασφάλειας.
Για Πολιτικές Τρίτων, Εγγραφείτε στην AWS Marketplace και Ρυθμίστε τις Ρυθμίσεις Τρίτων: Αν σκοπεύετε να χρησιμοποιήσετε πολιτικές τρίτων φορέων πυρασφάλειας, εγγραφείτε σε αυτέ
Διαχειριστικοί λογαριασμοί
Το AWS Firewall Manager προσφέρει ευελιξία στη διαχείριση πόρων του τοίχου πυρασφάλειας στον οργανισμό σας μέσω του διοικητικού του πεδίου και δύο τύπων διαχειριστικών λογαριασμών.
Το διοικητικό πεδίο καθορίζει τους πόρους που μπορεί να διαχειριστεί ένας διαχειριστής του AWS Firewall Manager. Αφού ένα λογαριασμός διαχείρισης AWS Organizations ενσωματώσει έναν οργανισμό στον AWS Firewall Manager, μπορεί να δημιουργήσει επιπλέον διαχειριστές με διαφορετικά διοικητικά πεδία. Αυτά τα πεδία μπορεί να περιλαμβάνουν:
Λογαριασμούς ή οργανωτικές μονάδες (OUs) στις οποίες ο διαχειριστής μπορεί να εφαρμόσει πολιτικές.
Περιοχές όπου ο διαχειριστής μπορεί να εκτελέσει ενέργειες.
Τύπους πολιτικής του AWS Firewall Manager που μπορεί να διαχειριστεί ο διαχειριστής.
Το διοικητικό πεδίο μπορεί να είναι είτε πλήρες είτε περιορισμένο. Το πλήρες πεδίο χορηγεί στον διαχειριστή πρόσβαση σε όλους τους καθορισμένους τύπους πόρων, περιοχές και τύπους πολιτικής. Αντίθετα, το περιορισμένο πεδίο παρέχει διοικητική άδεια μόνο για ένα υποσύνολο πόρων, περιοχών ή τύπων πολιτικής. Συνιστάται να χορηγούνται στους διαχειριστές μόνο οι άδειες που χρειάζονται για να εκπληρώσουν αποτελεσματικά τους ρόλους τους. Μπορείτε να εφαρμόσετε οποιαδήποτε συνδυασμό αυτών των διοικητικών πεδίων σε έναν διαχειριστή, εξασφαλίζοντας τη συμμόρφωση με την αρχή της ελάχιστης προνομιούχας πρόσβασης.
Υπάρχουν δύο διακριτοί τύποι διαχειριστικών λογαριασμών, ο καθένας εξυπηρετώντας συγκεκριμένους ρόλους και ευθύνες:
Προεπιλεγμένος Διαχειριστής:
Ο προεπιλεγμένος λογαριασμός διαχειριστή δημιουργείται από τον λογαριασμό διαχείρισης του οργανισμού AWS Organizations κατά τη διαδικασία ενσωμάτωσης στον AWS Firewall Manager.
Αυτός ο λογαριασμός έχει τη δυνατότητα να διαχειρίζεται τοίχους πυρασφάλειας τρίτων και διαθέτει πλήρες διοικητικό πεδίο.
Λειτουργεί ως κύριος λογαριασμός διαχειριστή για τον AWS Firewall Manager, υπεύθυνος για τη διαμόρφωση και την επιβολή πολιτικών ασφαλείας σε ολόκληρο τον οργανισμό.
Ενώ ο προεπιλεγμένος διαχειριστής έχει πλήρη πρόσβαση σε όλους τους τύπους πόρων και διοικητικές λειτουργίες, λειτουργεί στον ίδιο επίπεδο με άλλους διαχειριστές αν χρησιμοποιούνται πολλοί διαχειριστές εντός του οργανισμού.
Διαχειριστές του Firewall Manager:
Αυτοί οι διαχειριστές μπορούν να διαχειριστούν πόρους εντός του πεδίου που καθορίζεται από τον λογαριασμό διαχείρισης του AWS Organizations, όπως ορίζεται από τη διαμόρφωση του διοικητικού πεδίου.
Οι διαχειριστές του Firewall Manager δημιουργούνται για να εκπληρώσουν συγκεκριμένους ρόλους εντός του οργανισμού, επιτρέποντας την ανάθεση ευθυνών ενώ διατηρούνται πρότυπα ασφάλειας και συμμόρφωσης.
Κατά τη δημιουργία, το Firewall Manager ελέγχει με το AWS Organizations για να προσδιορίσει εάν ο λογαριασμός είναι ήδη αναθεωρημένος διαχειριστής. Αν όχι, το Firewall Manager καλεί το Organizations να ορίσει τον λογαριασμό ως αναθεωρημένο διαχειριστή για τον Firewall Manager.
Η διαχείριση αυτών των διαχειριστικών λογαριασμών περιλαμβάνει τη δημιουργία τους εντός του Firewall Manager και τον καθορισμό των διοικητικών τους πεδίων σύμφωνα με τις απαιτήσεις ασφαλείας του οργανισμού και την αρχή της ελάχιστης προνομιούχας πρόσβασης. Με την ανάθεση κατάλληλων διοικητικών ρόλων, οι οργανισμοί μπορούν να εξασφαλίσουν την αποτελεσματική διαχείριση της ασφάλειας διατηρώντας παράλληλα λεπτομερή έλεγχο επί της πρόσβασης σε ευαίσθητους πόρους.
Είναι σημαντικό να τονίσουμε ότι μόνο ένας λογαριασμός εντός ενός οργανισμού μπορεί να λειτουργήσει ως προεπιλεγμένος διαχειριστής του Firewall Manager, τηρώντας την αρχή του "πρώτος μέσα, τελευταίος έξω". Για να οριστεί ένας νέος προεπιλεγμένος διαχειριστής, πρέπει να ακολουθηθεί μια σειρά από βήματα:
Πρώτα, κάθε λογαριασμός διαχειριστή του Firewall πρέπει να ανακαλέσει τον δικό του λογαριασμό.
Στη συνέχεια, ο υπάρχων προεπιλεγμένος διαχειριστής μπορεί να ανακαλέσει τον δικό του λογαριασμό, αποσυνδέοντας αποτελεσματικά τον οργανισμό από τον AWS Firewall Manager. Αυτή η διαδικασία οδηγεί στη διαγραφή όλων των πολιτικών του AWS Firewall Manager που δημιουργήθηκαν από τον ανακληθέντα λογαριασμό.
Για να ολοκληρωθεί, ο λογαριασμός διαχείρισης του AWS Organizations πρέπει να ορίσει τον προεπιλεγμένο διαχειριστή του Firewall Manager.
Απαρίθμηση
Post Exploitation / Bypass Detection
organizations:DescribeOrganization
& (fms:AssociateAdminAccount
, fms:DisassociateAdminAccount
, fms:PutAdminAccount
)
organizations:DescribeOrganization
& (fms:AssociateAdminAccount
, fms:DisassociateAdminAccount
, fms:PutAdminAccount
)Ένας επιτιθέμενος με την άδεια fms:AssociateAdminAccount
θα μπορούσε να ορίσει τον προεπιλεγμένο λογαριασμό διαχειριστή του Διαχειριστή Τοίχου Προστασίας. Με την άδεια fms:PutAdminAccount
, ένας επιτιθέμενος θα μπορούσε να δημιουργήσει ή να ενημερώσει έναν λογαριασμό διαχειριστή του Διαχειριστή Τοίχου Προστασίας και με την άδεια fms:DisassociateAdminAccount
, ένας πιθανός επιτιθέμενος θα μπορούσε να αφαιρέσει τη συσχέτιση του τρέχοντος λογαριασμού διαχειριστή του Διαχειριστή Τοίχου Προστασίας.
Η αποσύνδεση του προεπιλεγμένου διαχειριστή του Διαχειριστή Τοίχου Προστασίας ακολουθεί την πολιτική πρώτος-μέσα-τελευταίος. Όλοι οι διαχειριστές του Διαχειριστή Τοίχου Προστασίας πρέπει να αποσυσχετιστούν πριν ο προεπιλεγμένος διαχειριστής του Διαχειριστή Τοίχου Προστασίας μπορέσει να αποσυσχετιστεί από τον λογαριασμό.
Για τη δημιουργία ενός λογαριασμού διαχειριστή του Διαχειριστή Τοίχου Προστασίας με την εντολή PutAdminAccount, ο λογαριασμός πρέπει να ανήκει στον οργανισμό που προηγουμένως είχε ενταχθεί στον Διαχειριστή Τοίχου Προστασίας χρησιμοποιώντας την εντολή AssociateAdminAccount.
Η δημιουργία ενός λογαριασμού διαχειριστή του Διαχειριστή Τοίχου Προστασίας μπορεί να γίνει μόνο από το λογαριασμό διαχείρισης του οργανισμού.
Πιθανή Επίπτωση: Απώλεια κεντρικής διαχείρισης, αποφυγή πολιτικής, παραβάσεις συμμόρφωσης και διαταραχή των ελέγχων ασφαλείας εντός του περιβάλλοντος.
fms:PutPolicy
, fms:DeletePolicy
fms:PutPolicy
, fms:DeletePolicy
Ένας επιτιθέμενος με τις άδειες fms:PutPolicy
, fms:DeletePolicy
θα μπορούσε να δημιουργήσει, να τροποποιήσει ή να διαγράψει μόνιμα μια πολιτική του AWS Firewall Manager.
Ένα παράδειγμα ενός επιεικούς πολιτικής μέσω ενεργειακής ομάδας ασφαλείας, προκειμένου να παρακαμφθεί η ανίχνευση, θα μπορούσε να είναι το ακόλουθο:
Πιθανή Επίπτωση: Κατάργηση των ελέγχων ασφαλείας, αποφυγή πολιτικής, παραβάσεις συμμόρφωσης, λειτουργικές διακοπές και πιθανές διαρροές δεδομένων εντός του περιβάλλοντος.
fms:BatchAssociateResource
, fms:BatchDisassociateResource
, fms:PutResourceSet
, fms:DeleteResourceSet
fms:BatchAssociateResource
, fms:BatchDisassociateResource
, fms:PutResourceSet
, fms:DeleteResourceSet
Ένας επιτιθέμενος με τα δικαιώματα fms:BatchAssociateResource
και fms:BatchDisassociateResource
θα μπορούσε να συσχετίσει ή να αποσυσχετίσει πόρους από ένα σύνολο πόρων του Διαχειριστή Τοίχου Πυρασφάλειας αντίστοιχα. Επιπλέον, τα δικαιώματα fms:PutResourceSet
και fms:DeleteResourceSet
θα επιτρέψουν σε έναν επιτιθέμενο να δημιουργήσει, να τροποποιήσει ή να διαγράψει αυτά τα σύνολα πόρων από τον Διαχειριστή Τοίχου Πυρασφάλειας του AWS.
Πιθανή Επίπτωση: Η προσθήκη ενός περιττού ποσού στοιχείων σε ένα σύνολο πόρων θα αυξήσει το επίπεδο θορύβου στην Υπηρεσία, προκαλώντας πιθανώς ένα DoS. Επιπλέον, οι αλλαγές στα σύνολα πόρων θα μπορούσαν να οδηγήσουν σε διακοπή πόρων, αποφυγή πολιτικής, παραβίαση συμμόρφωσης και διαταραχή των ελέγχων ασφαλείας εντός του περιβάλλοντος.
fms:PutAppsList
, fms:DeleteAppsList
fms:PutAppsList
, fms:DeleteAppsList
Ένας επιτιθέμενος με τις άδειες fms:PutAppsList
και fms:DeleteAppsList
θα μπορούσε να δημιουργήσει, να τροποποιήσει ή να διαγράψει λίστες εφαρμογών από τον AWS Firewall Manager. Αυτό θα μπορούσε να είναι κρίσιμο, καθώς μη εξουσιοδοτημένες εφαρμογές θα μπορούσαν να επιτραπούν πρόσβαση στο γενικό κοινό, ή η πρόσβαση σε εξουσιοδοτημένες εφαρμογές θα μπορούσε να αρνηθεί, προκαλώντας ένα DoS.
Πιθανές Επιπτώσεις: Αυτό θα μπορούσε να οδηγήσει σε λανθασμένες ρυθμίσεις, αποφυγή πολιτικής, παραβιάσεις συμμόρφωσης και διαταραχή των ελέγχων ασφαλείας εντός του περιβάλλοντος.
fms:PutProtocolsList
, fms:DeleteProtocolsList
fms:PutProtocolsList
, fms:DeleteProtocolsList
Ένας επιτιθέμενος με τις άδειες fms:PutProtocolsList
και fms:DeleteProtocolsList
θα μπορούσε να δημιουργήσει, να τροποποιήσει ή να διαγράψει λίστες πρωτοκόλλων από τον AWS Firewall Manager. Με παρόμοιο τρόπο με τις λίστες εφαρμογών, αυτό θα μπορούσε να είναι κρίσιμο εφόσον μη εξουσιοδοτημένα πρωτόκολλα θα μπορούσαν να χρησιμοποιηθούν από το γενικό κοινό, ή η χρήση εξουσιοδοτημένων πρωτοκόλλων θα μπορούσε να αρνηθεί, προκαλώντας ένα DoS.
Πιθανή Επίπτωση: Αυτό θα μπορούσε να οδηγήσει σε λανθασμένες ρυθμίσεις, αποφυγή πολιτικής, παραβιάσεις συμμόρφωσης και διαταραχή των ελέγχων ασφαλείας εντός του περιβάλλοντος.
fms:PutNotificationChannel
, fms:DeleteNotificationChannel
fms:PutNotificationChannel
, fms:DeleteNotificationChannel
Ένας επιτιθέμενος με τις άδειες fms:PutNotificationChannel
και fms:DeleteNotificationChannel
θα μπορούσε να διαγράψει και να ορίσει τον ρόλο IAM και το θέμα Amazon Simple Notification Service (SNS) που χρησιμοποιεί ο Firewall Manager για την καταγραφή των SNS logs.
Για να χρησιμοποιήσετε το fms:PutNotificationChannel
εκτός της κονσόλας, πρέπει να ρυθμίσετε την πολιτική πρόσβασης του θέματος SNS, επιτρέποντας στο καθορισμένο SnsRoleName να δημοσιεύει τα SNS logs. Αν το παρεχόμενο SnsRoleName είναι ένας ρόλος διαφορετικός από τον AWSServiceRoleForFMS
, απαιτείται μια σχέση εμπιστοσύνης που έχει ρυθμιστεί για να επιτρέπει στον κύριο υπηρεσίας του Firewall Manager fms.amazonaws.com να υποθέσει αυτόν τον ρόλο.
Για πληροφορίες σχετικά με τη ρύθμιση μιας πολιτικής πρόσβασης SNS:
https://github.com/HackTricks-wiki/hacktricks-cloud/blob/gr/pentesting-cloud/aws-security/aws-services/aws-services/aws-sns-enum.mdΠιθανές Επιπτώσεις: Αυτό θα μπορούσε να οδηγήσει σε αναποτελεσματικές ασφαλείας ειδοποιήσεις, καθυστερημένη ανταπόκριση σε περιστατικά, πιθανές διαρροές δεδομένων και λειτουργικές διακοπές εντός του περιβάλλοντος.
fms:AssociateThirdPartyFirewall
, fms:DisssociateThirdPartyFirewall
fms:AssociateThirdPartyFirewall
, fms:DisssociateThirdPartyFirewall
Ένας επιτιθέμενος με τις άδειες fms:AssociateThirdPartyFirewall
, fms:DisssociateThirdPartyFirewall
θα μπορούσε να συσχετίσει ή να αποσυσχετίσει τρίτες πυρασφάλειες από τον κεντρικό έλεγχο μέσω του AWS Firewall Manager.
Μόνο ο προεπιλεγμένος διαχειριστής μπορεί να δημιουργήσει και να διαχειριστεί τρίτες πυρασφάλειες.
```bash aws fms associate-third-party-firewall --third-party-firewall [PALO_ALTO_NETWORKS_CLOUD_NGFW | FORTIGATE_CLOUD_NATIVE_FIREWALL] aws fms disassociate-third-party-firewall --third-party-firewall [PALO_ALTO_NETWORKS_CLOUD_NGFW | FORTIGATE_CLOUD_NATIVE_FIREWALL] ``` **Πιθανή Επίδραση:** Η αποσύνδεση θα οδηγούσε σε αποφυγή πολιτικής, παραβάσεις συμμόρφωσης και διαταραχή των ελέγχων ασφαλείας εντός του περιβάλλοντος. Η σύνδεση από την άλλη θα οδηγούσε σε διαταραχή της κατανομής κόστους και προϋπολογισμού.
fms:TagResource
, fms:UntagResource
fms:TagResource
, fms:UntagResource
Ένας επιτιθέμενος θα μπορούσε να προσθέσει, να τροποποιήσει ή να αφαιρέσει ετικέτες από τους πόρους του Διαχειριστή Τοίχου Προστασίας, διαταράσσοντας την κατανομή κόστους, την παρακολούθηση πόρων και τις πολιτικές ελέγχου πρόσβασης βασισμένες σε ετικέτες.
Πιθανή Επίπτωση: Διαταραχή της κατανομής του κόστους, της παρακολούθησης πόρων και των πολιτικών ελέγχου πρόσβασης βασισμένων σε ετικέτες.
Αναφορές
Last updated