AWS - Inspector Enum
AWS - Inspector Enum
Inspector
O Amazon Inspector é um serviço avançado de gerenciamento automatizado de vulnerabilidades projetado para aprimorar a segurança do seu ambiente AWS. Este serviço escaneia continuamente instâncias Amazon EC2, imagens de contêiner no Amazon ECR, Amazon ECS e funções AWS Lambda em busca de vulnerabilidades e exposição de rede não intencional. Ao aproveitar um robusto banco de dados de inteligência de vulnerabilidades, o Amazon Inspector fornece descobertas detalhadas, incluindo níveis de gravidade e recomendações de remediação, ajudando as organizações a identificar e abordar proativamente os riscos de segurança. Esta abordagem abrangente garante uma postura de segurança fortificada em vários serviços AWS, auxiliando na conformidade e gerenciamento de riscos.
Elementos-chave
Descobertas
As descobertas no Amazon Inspector são relatórios detalhados sobre vulnerabilidades e exposições descobertas durante a varredura de instâncias EC2, repositórios ECR ou funções Lambda. Com base em seu estado, as descobertas são categorizadas como:
Ativo: A descoberta não foi remediada.
Fechado: A descoberta foi remediada.
Suprimido: A descoberta foi marcada com este estado devido a uma ou mais regras de supressão.
As descobertas também são categorizadas nos próximos três tipos:
Pacote: Essas descobertas se referem a vulnerabilidades em pacotes de software instalados em seus recursos. Exemplos incluem bibliotecas desatualizadas ou dependências com problemas de segurança conhecidos.
Código: Esta categoria inclui vulnerabilidades encontradas no código de aplicativos em execução em seus recursos AWS. Problemas comuns são erros de codificação ou práticas inseguras que podem levar a violações de segurança.
Rede: As descobertas de rede identificam exposições potenciais em configurações de rede que podem ser exploradas por atacantes. Estas incluem portas abertas, protocolos de rede inseguros e grupos de segurança mal configurados.
Filtros e Regras de Supressão
Filtros e regras de supressão no Amazon Inspector ajudam a gerenciar e priorizar descobertas. Os filtros permitem refinar as descobertas com base em critérios específicos, como gravidade ou tipo de recurso. As regras de supressão permitem suprimir determinadas descobertas consideradas de baixo risco, que já foram mitigadas ou por qualquer outro motivo importante, evitando que sobrecarreguem seus relatórios de segurança e permitindo que você se concentre em questões mais críticas.
Lista de Materiais de Software (SBOM)
Uma Lista de Materiais de Software (SBOM) no Amazon Inspector é uma lista de inventário aninhada exportável detalhando todos os componentes dentro de um pacote de software, incluindo bibliotecas e dependências. As SBOMs ajudam a fornecer transparência na cadeia de suprimentos de software, permitindo um melhor gerenciamento de vulnerabilidades e conformidade. Elas são cruciais para identificar e mitigar os riscos associados a componentes de software de código aberto e de terceiros.
Recursos principais
Exportar descobertas
O Amazon Inspector oferece a capacidade de exportar descobertas para Buckets Amazon S3, Amazon EventBridge e AWS Security Hub, o que permite gerar relatórios detalhados de vulnerabilidades e exposições identificadas para análise adicional ou compartilhamento em uma data e hora específicas. Este recurso suporta vários formatos de saída, como CSV e JSON, facilitando a integração com outras ferramentas e sistemas. A funcionalidade de exportação permite a personalização dos dados incluídos nos relatórios, permitindo filtrar descobertas com base em critérios específicos como gravidade, tipo de recurso ou intervalo de datas e incluindo por padrão todas as suas descobertas na Região AWS atual com status Ativo.
Ao exportar descobertas, uma chave do Serviço de Gerenciamento de Chaves (KMS) é necessária para criptografar os dados durante a exportação. As chaves KMS garantem que as descobertas exportadas estejam protegidas contra acesso não autorizado, fornecendo uma camada extra de segurança para informações sensíveis de vulnerabilidades.
Varredura de instâncias Amazon EC2
O Amazon Inspector oferece robustas capacidades de varredura para instâncias Amazon EC2 para detectar vulnerabilidades e problemas de segurança. O Inspector compara metadados extraídos da instância EC2 com regras de avisos de segurança para produzir vulnerabilidades de pacote e problemas de alcance de rede. Essas varreduras podem ser realizadas por métodos baseados em agente ou sem agente, dependendo da configuração de ajustes do modo de varredura da sua conta.
Baseado em Agente: Utiliza o agente AWS Systems Manager (SSM) para realizar varreduras detalhadas. Este método permite a coleta e análise abrangente de dados diretamente da instância.
Sem Agente: Oferece uma alternativa leve que não requer a instalação de um agente na instância, criando um snapshot EBS de cada volume da instância EC2, procurando vulnerabilidades e, em seguida, excluindo-o; aproveitando a infraestrutura AWS existente para varredura.
O modo de varredura determina qual método será usado para realizar varreduras EC2:
Baseado em Agente: Envolve a instalação do agente SSM em instâncias EC2 para inspeção profunda.
Varredura Híbrida: Combina métodos baseados em agente e sem agente para maximizar a cobertura e minimizar o impacto no desempenho. Nas instâncias EC2 onde o agente SSM está instalado, o Inspector realizará uma varredura baseada em agente, e para aquelas onde não há agente SSM, a varredura realizada será sem agente.
Outro recurso importante é a inspeção profunda para instâncias Linux EC2. Este recurso oferece uma análise detalhada do software e configuração das instâncias Linux EC2, fornecendo avaliações detalhadas de vulnerabilidades, incluindo vulnerabilidades do sistema operacional, vulnerabilidades de aplicativos e configurações incorretas, garantindo uma avaliação abrangente da segurança. Isso é alcançado através da inspeção de caminhos personalizados e todos os seus subdiretórios. Por padrão, o Amazon Inspector irá escanear o seguinte, mas cada conta de membro pode definir até 5 caminhos personalizados adicionais, e cada administrador delegado até 10:
/usr/lib
/usr/lib64
/usr/local/lib
/usr/local/lib64
Varredura de imagens de contêiner Amazon ECR
O Amazon Inspector oferece robustas capacidades de varredura para imagens de contêiner do Amazon Elastic Container Registry (ECR), garantindo que vulnerabilidades de pacotes sejam detectadas e gerenciadas de forma eficiente.
Varredura Básica: Esta é uma varredura rápida e leve que identifica vulnerabilidades conhecidas em pacotes do sistema operacional em imagens de contêiner usando um conjunto padrão de regras do projeto de código aberto Clair. Com esta configuração de varredura, seus repositórios serão escaneados ao enviar, ou realizando varreduras manuais.
Varredura Avançada: Esta opção adiciona o recurso de varredura contínua além da varredura ao enviar. A varredura avançada mergulha mais fundo nas camadas de cada imagem de contêiner para identificar vulnerabilidades em pacotes do sistema operacional e em pacotes de linguagens de programação com maior precisão. Ele analisa tanto a imagem base quanto quaisquer camadas adicionais, fornecendo uma visão abrangente de possíveis problemas de segurança.
Varredura de funções Lambda da Amazon
O Amazon Inspector inclui capacidades abrangentes de varredura para funções AWS Lambda e suas camadas, garantindo a segurança e integridade de aplicativos sem servidor. O Inspector oferece dois tipos de varredura para funções Lambda:
Varredura padrão Lambda: Este recurso padrão identifica vulnerabilidades de software nas dependências do pacote de aplicativo adicionadas à sua função Lambda e camadas. Por exemplo, se sua função usar uma versão de uma biblioteca como python-jwt com uma vulnerabilidade conhecida, ele gera uma descoberta.
Varredura de código Lambda: Analisa o código do aplicativo personalizado em busca de problemas de segurança, detectando vulnerabilidades como falhas de injeção, vazamentos de dados, criptografia fraca e falta de criptografia. Ele captura trechos de código destacando vulnerabilidades detectadas, como credenciais codificadas. As descobertas incluem sugestões detalhadas de remediação e trechos de código para corrigir os problemas.
Varreduras do Center for Internet Security (CIS)
O Amazon Inspector inclui varreduras do CIS para avaliar os sistemas operacionais das instâncias Amazon EC2 em relação às recomendações das melhores práticas do Center for Internet Security (CIS). Essas varreduras garantem que as configurações estejam em conformidade com os padrões de segurança do setor.
Configuração: As varreduras do CIS avaliam se as configurações do sistema atendem às recomendações específicas do CIS Benchmark, sendo que cada verificação está vinculada a um ID e título de verificação do CIS.
Execução: As varreduras são realizadas ou agendadas com base em tags de instância e cronogramas definidos.
Resultados: Os resultados pós-varredura indicam quais verificações foram aprovadas, ignoradas ou falharam, fornecendo insights sobre a postura de segurança de cada instância.
Enumeração
Pós-Exploração
Do ponto de vista de um atacante, este serviço pode ajudar o atacante a encontrar vulnerabilidades e exposições de rede que poderiam ajudá-lo a comprometer outras instâncias/containers.
No entanto, um atacante também pode estar interessado em perturbar este serviço para que a vítima não consiga ver vulnerabilidades (todas ou específicas).
inspector2:CreateFindingsReport
, inspector2:CreateSBOMReport
inspector2:CreateFindingsReport
, inspector2:CreateSBOMReport
Um atacante poderia gerar relatórios detalhados de vulnerabilidades ou lista de materiais de software (SBOMs) e exfiltrá-los do seu ambiente AWS. Essas informações poderiam ser exploradas para identificar fraquezas específicas, software desatualizado ou dependências inseguras, possibilitando ataques direcionados.
O exemplo a seguir mostra como exfiltrar todas as descobertas ativas do Amazon Inspector para um Bucket do Amazon S3 controlado pelo atacante com uma chave Amazon KMS controlada pelo atacante:
Criar um Bucket do Amazon S3 e anexar uma política a ele para que seja acessível a partir do Amazon Inspector da vítima:
Criar uma chave Amazon KMS e anexar uma política a ela para que possa ser usada pelo Amazon Inspector da vítima:
Execute o comando para criar o relatório de descobertas exfiltrando-o:
Impacto Potencial: Geração e exfiltração de relatórios detalhados de vulnerabilidades e software, obtendo insights sobre vulnerabilidades específicas e fraquezas de segurança.
inspector2:CancelFindingsReport
, inspector2:CancelSbomExport
inspector2:CancelFindingsReport
, inspector2:CancelSbomExport
Um atacante poderia cancelar a geração do relatório de descobertas especificado ou do relatório SBOM, impedindo que as equipes de segurança recebam informações oportunas sobre vulnerabilidades e lista de materiais de software (SBOMs), atrasando a detecção e remediação de problemas de segurança.
Impacto Potencial: Disrupção da monitorização de segurança e prevenção da deteção atempada e remediação de questões de segurança.
inspector2:CreateFilter
, inspector2:UpdateFilter
, inspector2:DeleteFilter
inspector2:CreateFilter
, inspector2:UpdateFilter
, inspector2:DeleteFilter
Um atacante com estas permissões seria capaz de manipular as regras de filtragem que determinam quais vulnerabilidades e questões de segurança são reportadas ou suprimidas (se a ação estiver definida como SUPRIMIR, uma regra de supressão seria criada). Isso poderia ocultar vulnerabilidades críticas dos administradores de segurança, tornando mais fácil explorar essas fraquezas sem deteção. Ao alterar ou remover filtros importantes, um atacante também poderia criar ruído inundando o sistema com descobertas irrelevantes, dificultando a monitorização e resposta eficazes de segurança.
Impacto Potencial: Ocultação ou supressão de vulnerabilidades críticas, ou inundação do sistema com descobertas irrelevantes.
inspector2:DesativarContaAdminDelegada
, (inspector2:AtivarContaAdminDelegada
& organizations:ListarAdministradoresDelegados
& organizations:PermitirAcessoServiçoAWS
& iam:CriarFunçãoVinculadaAoServiço
)
inspector2:DesativarContaAdminDelegada
, (inspector2:AtivarContaAdminDelegada
& organizations:ListarAdministradoresDelegados
& organizations:PermitirAcessoServiçoAWS
& iam:CriarFunçãoVinculadaAoServiço
)Um atacante poderia perturbar significativamente a estrutura de gerenciamento de segurança.
Ao desativar a conta de administração delegada, o atacante poderia impedir que a equipe de segurança acesse e gerencie as configurações e relatórios do Amazon Inspector.
Habilitar uma conta de administração não autorizada permitiria a um atacante controlar as configurações de segurança, potencialmente desabilitando varreduras ou modificando configurações para ocultar atividades maliciosas.
É necessário que a conta não autorizada esteja na mesma Organização que a vítima para se tornar o administrador delegado.
Para que a conta não autorizada se torne o administrador delegado, também é necessário que, após o administrador delegado legítimo ser desativado e antes que a conta não autorizada seja habilitada como administrador delegado, o administrador legítimo seja cancelado como administrador delegado da organização. Isso pode ser feito com o seguinte comando (permissão organizations:DeregisterDelegatedAdministrator
necessária): aws organizations deregister-delegated-administrator --account-id <id-conta-legit> --service-principal [inspector2.amazonaws.com](http://inspector2.amazonaws.com/)
Impacto Potencial: Disrupção da gestão de segurança.
inspector2:AssociateMember
, inspector2:DisassociateMember
inspector2:AssociateMember
, inspector2:DisassociateMember
Um atacante poderia manipular a associação de contas de membros dentro de uma organização do Amazon Inspector. Ao associar contas não autorizadas ou desassociar contas legítimas, um atacante poderia controlar quais contas são incluídas em varreduras de segurança e relatórios. Isso poderia resultar na exclusão de contas críticas da monitorização de segurança, permitindo que o atacante explore vulnerabilidades nessas contas sem detecção.
Esta ação requer ser realizada pelo administrador delegado.
Impacto Potencial: Exclusão de contas-chave de varreduras de segurança, permitindo a exploração não detectada de vulnerabilidades.
inspector2:Desativar
, (inspector2:Ativar
& iam:CriarFuncaoVinculadaAoServico
)
inspector2:Desativar
, (inspector2:Ativar
& iam:CriarFuncaoVinculadaAoServico
)Um atacante com permissão inspector2:Desativar
seria capaz de desativar varreduras de segurança em tipos de recursos específicos (EC2, ECR, Lambda, código Lambda) nas contas especificadas, deixando partes do ambiente AWS sem monitoramento e vulneráveis a ataques. Além disso, possuindo as permissões inspector2:Ativar
& iam:CriarFuncaoVinculadaAoServico
, um atacante poderia então reativar varreduras seletivamente para evitar a detecção de configurações suspeitas.
Esta ação requer ser realizada pelo administrador delegado.
Impacto Potencial: Criação de pontos cegos na monitorização de segurança.
inspector2:UpdateOrganizationConfiguration
inspector2:UpdateOrganizationConfiguration
Um atacante com essa permissão seria capaz de atualizar as configurações da sua organização do Amazon Inspector, afetando as funcionalidades de verificação padrão habilitadas para novas contas de membros.
Essa ação requer ser realizada pelo administrador delegado.
Impacto Potencial: Alterar políticas e configurações de varredura de segurança para a organização.
inspector2:TagResource
, inspector2:UntagResource
inspector2:TagResource
, inspector2:UntagResource
Um atacante poderia manipular tags em recursos do AWS Inspector, que são críticas para organizar, rastrear e automatizar avaliações de segurança. Ao alterar ou remover tags, um atacante poderia potencialmente ocultar vulnerabilidades das varreduras de segurança, interromper relatórios de conformidade e interferir nos processos de remediação automatizados, levando a problemas de segurança não verificados e comprometendo a integridade do sistema.
Impacto Potencial: Ocultação de vulnerabilidades, interrupção de relatórios de conformidade, interrupção da automação de segurança e interrupção da alocação de custos.
Referências
Last updated