Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Behebung von Risiken für EC2-Instances
AWS Security Hub kann Risikopergebnisse für Amazon Elastic Compute Cloud (EC2) -Instances generieren.
Auf der Security Hub Hub-Konsole sind die EC2-Instance, die an einer Risikofeststellung beteiligt war, und ihre identifizierenden Informationen im Abschnitt Ressourcen der Ergebnisdetails aufgeführt. Programmgesteuert können Sie Ressourcendetails mithilfe der GetFindingsV2Security Hub CSPM-API abrufen.
Nachdem Sie die Ressource identifiziert haben, die an einer Risikofeststellung beteiligt war, können Sie die Ressource löschen, falls Sie sie nicht benötigen. Durch das Löschen einer nicht benötigten Ressource können Sie Ihr Expositionsprofil und Ihre AWS Kosten reduzieren. Wenn es sich bei der Ressource um eine wichtige Ressource handelt, befolgen Sie diese empfohlenen Abhilfemaßnahmen, um das Risiko zu minimieren. Die Themen zur Problembehebung sind nach der Art des Merkmals unterteilt.
Ein einziger Risikobefund umfasst Probleme, die in mehreren Problembehebungsthemen identifiziert wurden. Umgekehrt können Sie mit einem Problembehebungsproblem umgehen und dessen Schweregrad verringern, indem Sie sich mit nur einem Problembehebungsthema befassen. Ihr Ansatz zur Risikominderung hängt von den Anforderungen und der Arbeitsbelastung Ihres Unternehmens ab.
Anmerkung
Die in diesem Thema enthaltenen Hinweise zur Problembehebung erfordern möglicherweise zusätzliche Informationen in anderen Ressourcen. AWS
Inhalt
Merkmale der Fehlkonfiguration für EC2-Instances
Im Folgenden finden Sie Merkmale von Fehlkonfigurationen für EC2-Instances und empfohlene Schritte zur Behebung.
Die EC2-Instance ermöglicht den Zugriff auf IMDS mit Version 1
Instance-Metadaten sind Daten über Ihre Amazon EC2 EC2-Instance, die Anwendungen zur Konfiguration oder Verwaltung der laufenden Instance verwenden können. Der Instance-Metadatenservice (IMDS) ist eine On-Instance-Komponente, die von Code auf der Instance verwendet wird, um sicher auf Instance-Metadaten zuzugreifen. Wenn IMDS nicht ordnungsgemäß gesichert ist, kann es zu einem potenziellen Angriffsvektor werden, da es Zugriff auf temporäre Anmeldeinformationen und andere sensible Konfigurationsdaten bietet. IMDSv2 bietet einen besseren Schutz vor Ausnutzung durch sitzungsorientierte Authentifizierung, die ein Sitzungstoken für Metadatenanfragen erfordert und die Sitzungsdauer begrenzt. Konfigurieren Sie Amazon EC2 EC2-Instances gemäß den Standardsicherheitsprinzipien für die Verwendung von IMDSv2 und deaktivieren Sie IMDSv1.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieser Gefahr zu begegnen:
Testen Sie die Anwendungskompatibilität
Bevor Sie IMDSv2 implementieren, testen Sie Ihre Instance, um sicherzustellen, dass sie mit IMDSv2 kompatibel ist. Einige Anwendungen oder Skripte benötigen möglicherweise IMDSv1 für die Kernfunktionalität und erfordern eine zusätzliche Konfiguration. Weitere Informationen zu Tools und empfohlenen Pfaden zum Testen der Anwendungskompatibilität finden Sie unter Übergang zur Verwendung von Instance Metadata Service Version 2 im Amazon Elastic Compute Cloud-Benutzerhandbuch.
Aktualisieren Sie die Instanz, um IMDSv2 zu verwenden
Ändern Sie bestehende Instanzen, um IMDSv2 zu verwenden. Weitere Informationen finden Sie unter Ändern von Instance-Metadaten-Optionen für bestehende Instances im Amazon Elastic Compute Cloud-Benutzerhandbuch.
Updates auf Instances in einer Auto Scaling Scaling-Gruppe anwenden
Wenn Ihre Instance Teil einer Auto Scaling Scaling-Gruppe ist, aktualisieren Sie Ihre Startvorlage oder Startkonfiguration mit einer neuen Konfiguration und führen Sie eine Instance-Aktualisierung durch.
Die Amazon EC2 EC2-Instance verfügt über eine Sicherheitsgruppe oder Netzwerk-ACL, die SSH- oder RDP-Zugriff ermöglicht.
Fernzugriffsprotokolle wie SSH und RDP ermöglichen es Benutzern, von externen Standorten aus eine Verbindung zu Amazon EC2 EC2-Instances herzustellen und diese zu verwalten. Wenn Sicherheitsgruppen uneingeschränkten Zugriff auf diese Protokolle aus dem Internet zulassen, vergrößern sie die Angriffsfläche Ihrer Amazon EC2 EC2-Instances, indem sie den Internetzugang auf Ihre Instance ermöglichen. Beschränken Sie den Fernzugriff gemäß den Standardsicherheitsprinzipien auf bestimmte, vertrauenswürdige IP-Adressen oder Bereiche.
Behebung: Ändern Sie die Regeln für Sicherheitsgruppen
Beschränken Sie den Zugriff auf Ihre Amazon EC2 EC2-Instances auf bestimmte vertrauenswürdige IP-Adressen. Beschränken Sie den SSH- und RDP-Zugriff auf bestimmte vertrauenswürdige IP-Adressen oder verwenden Sie die CIDR-Notation, um IP-Bereiche anzugeben (z. B. 192.168.1). 0/24). Informationen zum Ändern von Sicherheitsgruppenregeln finden Sie unter Sicherheitsgruppenregeln konfigurieren im Amazon Elastic Compute Cloud-Benutzerhandbuch.
Die Amazon EC2 EC2-Instance hat eine offene Sicherheitsgruppe
Sicherheitsgruppen dienen als virtuelle Firewalls für Ihre Amazon EC2 EC2-Instances, um den eingehenden und ausgehenden Datenverkehr zu kontrollieren. Offene Sicherheitsgruppen, die uneingeschränkten Zugriff von jeder IP-Adresse aus ermöglichen, können Ihre Instances unbefugten Zugriffen aussetzen. Halten Sie sich an die Standardsicherheitsprinzipien und beschränken Sie den Zugriff von Sicherheitsgruppen auf bestimmte IP-Adressen und Ports.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieser Gefahr zu begegnen:
Überprüfen Sie die Sicherheitsgruppenregeln und bewerten Sie die aktuelle Konfiguration
Prüfen Sie, welche Ports offen und von weiten IP-Bereichen aus zugänglich sind, z. (0.0.0.0/0 or ::/0) B. Anweisungen zum Anzeigen von Sicherheitsgruppendetails finden Sie DescribeSecurityGroupsin der API-Referenz zum Porting Assistant for .NET.
Ändern Sie die Regeln für Sicherheitsgruppen
Ändern Sie Ihre Sicherheitsgruppenregeln, um den Zugriff auf bestimmte vertrauenswürdige IP-Adressen oder Bereiche einzuschränken. Denken Sie bei der Aktualisierung Ihrer Sicherheitsgruppenregeln darüber nach, die Zugriffsanforderungen für verschiedene Netzwerksegmente zu trennen, indem Sie Regeln für jeden erforderlichen Quell-IP-Bereich erstellen oder den Zugriff auf bestimmte Ports einschränken. Informationen zum Ändern von Sicherheitsgruppenregeln finden Sie unter Sicherheitsgruppenregeln konfigurieren im Amazon EC2 EC2-Benutzerhandbuch.
Erreichbarkeitsmerkmale für EC2-Instances
Hier finden Sie Merkmale der Erreichbarkeit für EC2-Instances und empfohlene Schritte zur Problembehebung.
Die EC2-Instance ist über das Internet erreichbar
Amazon EC2 EC2-Instances mit Ports, die über das Internet erreichbar sind, können Ihre Instance offenlegen. Die Erreichbarkeit kann über ein Internet-Gateway (einschließlich Instances hinter Application Load Balancers oder Classic Load Balancers), eine VPC-Peering-Verbindung oder ein virtuelles VPN-Gateway erfolgen. Halten Sie sich an die Standardsicherheitsprinzipien und implementieren Sie Netzwerkzugriffskontrollen mit geringsten Rechten, indem Sie den eingehenden Datenverkehr auf die erforderlichen Quellen und Ports beschränken.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieser Gefahr zu begegnen:
Ändern oder entfernen Sie Sicherheitsgruppenregeln
Öffnen Sie auf der Registerkarte Ressourcen die Ressource für die Amazon EC2-Sicherheitsgruppe. Prüfen Sie, ob ein Internetzugang erforderlich ist, damit die Instance funktioniert. Ändern oder entfernen Sie Sicherheitsgruppenregeln für eingehenden Datenverkehr, die uneingeschränkten Zugriff ermöglichen (0.0.0.0/0oder::/0). Implementieren Sie restriktivere Regeln, die auf bestimmten IP-Bereichen oder Sicherheitsgruppen basieren. Wenn ein eingeschränkter öffentlicher Zugriff erforderlich ist, beschränken Sie den Zugriff auf bestimmte Ports und Protokolle, die für die Funktion der Instanz erforderlich sind. Anweisungen zur Verwaltung von Sicherheitsgruppenregeln finden Sie unter Sicherheitsgruppenregeln konfigurieren im Amazon EC2 EC2-Benutzerhandbuch.
Netzwerk-ACLs aktualisieren
Überprüfen und ändern Sie die Netzwerkzugriffskontrolllisten (ACLs), die dem Subnetz der Instance zugeordnet sind. Stellen Sie sicher, dass die ACL-Einstellungen mit den Änderungen der Sicherheitsgruppe übereinstimmen und nicht unbeabsichtigt öffentlichen Zugriff zulassen. Anweisungen zum Ändern von Netzwerk-ACLs finden Sie unter Arbeiten mit Netzwerk-ACLs im Amazon VPC-Benutzerhandbuch.
Alternative Zugriffsmethoden
Erwägen Sie die folgenden Optionen für alternative Zugriffsmethoden:
-
Verwenden Sie das NAT-Gateway für ausgehende Internetkonnektivität — Für Instances in privaten Subnetzen, die Zugriff auf das Internet benötigen (z. B. um Updates herunterzuladen), sollten Sie ein NAT-Gateway verwenden, anstatt eine öffentliche IP-Adresse zuzuweisen. Ein NAT-Gateway ermöglicht es Instances in privaten Subnetzen, ausgehende Verbindungen zum Internet zu initiieren und gleichzeitig eingehende Verbindungen aus dem Internet zu verhindern.
-
Verwenden Sie Systems Manager Session Manager — Session Manager bietet sicheren Shell-Zugriff auf Ihre Amazon EC2 EC2-Instances, ohne dass eingehende Ports erforderlich sind, SSH-Schlüssel verwaltet oder Bastion-Hosts verwaltet werden müssen.
-
Verwenden Sie WAF und Elastic Load Balancing oder Application Load Balancer — Für Instances, auf denen Webanwendungen ausgeführt werden, sollten Sie erwägen, einen LB in Kombination mit einer AWS Web Application Firewall (WAF) zu verwenden. LBs können so konfiguriert werden, dass Ihre Instances in privaten Subnetzen ausgeführt werden können, während der LB in einem öffentlichen Subnetz läuft und den Internetverkehr abwickelt. Das Hinzufügen einer WAF zu Ihrem Load Balancer bietet zusätzlichen Schutz vor Web-Exploits und Bots.
Merkmale der Sicherheitslücke für EC2-Instances
Im Folgenden finden Sie die Merkmale der Sicherheitslücken für EC2-Instances und empfohlene Schritte zur Behebung.
Die EC2-Instance weist Software-Sicherheitslücken auf, die im Netzwerk ausgenutzt werden können und die Wahrscheinlichkeit einer Ausnutzung hoch ist
Softwarepakete, die auf EC2-Instances installiert sind, können Common Vulnerabilities and Exposures (CVEs) ausgesetzt sein. Kritische CVEs stellen erhebliche Sicherheitsrisiken für Ihre Umgebung dar. AWS Unbefugte Principals können diese ungepatchten Sicherheitslücken ausnutzen, um die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten zu gefährden oder auf andere Systeme zuzugreifen. Kritische Sicherheitslücken mit hoher Wahrscheinlichkeit stellen unmittelbare Sicherheitsbedrohungen dar, da Exploit-Code möglicherweise bereits öffentlich verfügbar ist und von Angreifern oder automatisierten Scan-Tools aktiv genutzt wird. Patchen Sie diese Sicherheitslücken, um Ihre Instanz zu schützen.
Behebung: Aktualisieren Sie die betroffenen Instanzen
Sehen Sie sich den Abschnitt „Referenzen“ auf der Registerkarte „Sicherheitslücke“ des Merkmals an. Die Herstellerdokumentation kann spezifische Anleitungen zur Problembehebung enthalten. Folgen Sie den entsprechenden Abhilfemaßnahmen anhand dieser allgemeinen Richtlinien:
Verwenden Sie Systems Manager Patch Manager, um Patches für Betriebssysteme und Anwendungen anzuwenden. Patch Manager unterstützt Sie bei der automatischen Auswahl und Bereitstellung von Betriebssystem- und Softwarepatches für große Gruppen von Instanzen. Wenn Sie Patch Manager nicht konfiguriert haben, aktualisieren Sie das Betriebssystem auf jeder betroffenen Instanz manuell.
Aktualisieren Sie die betroffenen Anwendungen gemäß den vom Hersteller empfohlenen Verfahren auf ihre neuesten sicheren Versionen. Um Anwendungsupdates über mehrere Instanzen hinweg zu verwalten, sollten Sie den Systems Manager State Manager verwenden, um Ihre Software in einem konsistenten Zustand zu halten. Wenn keine Updates verfügbar sind, sollten Sie erwägen, die anfällige Anwendung zu entfernen oder zu deaktivieren, bis ein Patch veröffentlicht wird, oder Sie sollten andere Abhilfemaßnahmen ergreifen, z. B. den Netzwerkzugriff auf die Anwendung einschränken oder anfällige Funktionen deaktivieren.
Folgen Sie den spezifischen Empfehlungen zur Problembehebung im Ergebnis von Amazon Inspector. Dies kann das Ändern von Sicherheitsgruppenregeln, das Ändern von Instance-Konfigurationen oder das Anpassen von Anwendungseinstellungen beinhalten.
Prüfen Sie, ob die Instance Teil der Auto Scaling Group ist. AMI-replacement Das Patchen erfolgt auf unveränderlichen Infrastrukturen, indem die AMI-ID aktualisiert wird, die für die Bereitstellung neuer Amazon EC2 EC2-Instances in einer Auto Scaling Scaling-Gruppe konfiguriert ist. Wenn Sie ein custom/golden AMI verwenden, erstellen Sie eine Instance mit dem neuen AMI, passen Sie dann die Instance an und erstellen Sie ein neues goldenes AMI. Weitere Informationen finden Sie unter Patchen von AMI-Updates (Verwenden von gepatchten AMIs für Auto Scaling Scaling-Gruppen).
Überlegungen für die Zukunft
Um future Vorkommnisse zu verhindern, sollten Sie die Implementierung eines Vulnerability Management-Programms in Betracht ziehen. Amazon Inspector kann so konfiguriert werden, dass auf Ihren Instances automatisch nach CVEs gesucht wird. Amazon Inspector kann für automatische Problembehebungen auch in Security Hub integriert werden. Erwägen Sie die Implementierung eines regelmäßigen Patch-Zeitplans mithilfe von Systems Manager Maintenance Windows, um Unterbrechungen Ihrer Instanzen so gering wie möglich zu halten.
Die Amazon EC2 EC2-Instance weist Softwareschwachstellen auf
Softwarepakete, die auf Amazon EC2 EC2-Instances installiert sind, können Common Vulnerabilities and Exposures (CVEs) ausgesetzt sein. Nicht kritische CVEs stellen Sicherheitslücken dar, die im Vergleich zu kritischen CVEs einen geringeren Schweregrad oder eine geringere Ausnutzbarkeit aufweisen. Diese Sicherheitslücken stellen zwar ein geringeres unmittelbares Risiko dar, aber Angreifer können diese ungepatchten Sicherheitslücken dennoch ausnutzen, um die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten zu gefährden oder auf andere Systeme zuzugreifen. Folgen Sie den bewährten Sicherheitsmethoden und patchen Sie diese Sicherheitslücken, um Ihre Instance vor Angriffen zu schützen.
Behebung: Aktualisieren Sie die betroffenen Instanzen
Verwenden Sie AWS Systems Manager Patch Manager, um Patches für Betriebssysteme anzuwenden. Patch Manager unterstützt Sie bei der automatischen Auswahl und Bereitstellung von Betriebssystem- und Softwarepatches für große Gruppen von Instanzen. Wenn Sie Patch Manager nicht konfiguriert haben, aktualisieren Sie das Betriebssystem auf jeder betroffenen Instanz manuell.
Aktualisieren Sie die betroffenen Anwendungen gemäß den vom Hersteller empfohlenen Verfahren auf ihre neuesten sicheren Versionen. Um Anwendungsupdates über mehrere Instanzen hinweg zu verwalten, sollten Sie den AWS Systems Manager State Manager verwenden, um Ihre Software in einem konsistenten Zustand zu halten. Wenn keine Updates verfügbar sind, sollten Sie erwägen, die anfällige Anwendung zu entfernen oder zu deaktivieren, bis ein Patch veröffentlicht wird, oder Sie sollten andere Abhilfemaßnahmen ergreifen, z. B. den Netzwerkzugriff auf die Anwendung einschränken oder anfällige Funktionen deaktivieren.
Folgen Sie den spezifischen Empfehlungen zur Problembehebung im Ergebnis von Amazon Inspector. Dies kann das Ändern von Sicherheitsgruppenregeln, das Ändern von Instance-Konfigurationen oder das Anpassen der Anwendungseinstellungen beinhalten.
Prüfen Sie, ob die Instance Teil der Auto Scaling Group ist. AMI-replacement Das Patchen erfolgt auf unveränderlichen Infrastrukturen, indem die AMI-ID aktualisiert wird, die für die Bereitstellung neuer Amazon EC2 EC2-Instances in einer Auto Scaling Scaling-Gruppe konfiguriert ist. Wenn Sie ein custom/golden AMI verwenden, erstellen Sie eine Instance mit dem neuen AMI, passen Sie dann die Instance an und erstellen Sie ein neues goldenes AMI. Weitere Informationen finden Sie unter Patchen von AMI-Updates (Verwenden von gepatchten AMIs für Auto Scaling Scaling-Gruppen).
Überlegungen für die Zukunft
Um future Vorkommnisse zu verhindern, sollten Sie die Implementierung eines Vulnerability Management-Programms in Betracht ziehen. Amazon Inspector kann so konfiguriert werden, dass auf Ihren Instances automatisch nach CVEs gesucht wird. Amazon Inspector kann für automatische Problembehebungen auch in Security Hub integriert werden. Erwägen Sie die Implementierung eines regelmäßigen Patch-Zeitplans mithilfe von Systems Manager Maintenance Windows, um Unterbrechungen Ihrer Instanzen so gering wie möglich zu halten.
Die EC2-Instance hat ein Betriebssystem End-Of-Life
Auf der EC2-Instance wird ein auslaufendes Betriebssystem ausgeführt, das vom ursprünglichen Entwickler nicht mehr unterstützt oder verwaltet wird. Dadurch ist die Instance Sicherheitslücken und potenziellen Angriffen ausgesetzt. Wenn Betriebssysteme das Ende ihrer Lebensdauer erreichen, stellen die Anbieter in der Regel die Veröffentlichung neuer Sicherheitsempfehlungen ein. Bestehende Sicherheitsempfehlungen können auch aus den Feeds der Anbieter entfernt werden. Infolgedessen könnte Amazon Inspector möglicherweise aufhören, Ergebnisse für bekannte CVEs zu generieren, was zu weiteren Sicherheitslücken führen würde.
Informationen zu Betriebssystemen, deren Lebensdauer abgelaufen ist und die von Amazon Inspector erkannt werden können, finden Sie im Amazon Inspector Inspector-Benutzerhandbuch unter Nicht mehr erhältliche Betriebssysteme.
Behebung: Update auf eine unterstützte Betriebssystemversion
Aktualisieren Sie auf eine unterstützte Version des Betriebssystems. Öffnen Sie im Expositionsnachweis die Ressource, um auf die betroffene Ressource zuzugreifen. Bevor Sie die Betriebssystemversion auf Ihrer Instance aktualisieren, erstellen Sie einen Snapshot oder ein AMI-Backup für den Fall, dass Sie ein Rollback durchführen müssen. Eine Liste der derzeit unterstützten Betriebssystemversionen finden Sie anschließend unter Unterstützte Betriebssysteme im Amazon Inspector Inspector-Benutzerhandbuch.
Die EC2-Instance enthält schädliche Softwarepakete
Bösartige Pakete sind Softwarekomponenten, die schädlichen Code enthalten, der die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Systeme und Daten gefährden soll. Bösartige Pakete stellen eine aktive und kritische Bedrohung für Ihre Instanz dar, da Angreifer bösartigen Code automatisch ausführen können, ohne eine Sicherheitslücke auszunutzen. Entfernen Sie bösartige Pakete gemäß den bewährten Sicherheitsmethoden, um Ihre Instance vor potenziellen Angriffen zu schützen.
Problembehebung: Entfernen Sie bösartige Pakete
Sehen Sie sich die Informationen zu den bösartigen Paketen im Abschnitt Referenzen auf der Registerkarte Sicherheitslücke des jeweiligen Merkmals an, um mehr über die Bedrohung zu erfahren. Entfernen Sie die identifizierten bösartigen Pakete mit dem entsprechenden Paketmanager. Ein Beispiel finden Sie im Amazon Linux 2023 User Guide unter Package Management Tool. Nachdem Sie die schädlichen Pakete entfernt haben, sollten Sie einen Scan durchführen, um sicherzustellen, dass alle Pakete, die möglicherweise durch den bösartigen Code installiert wurden, entfernt wurden. Weitere Informationen finden Sie unter Starten des On-demand Malware-Scans GuardDuty in der.
Die EC2-Instance enthält schädliche Dateien
Bösartige Dateien enthalten schädlichen Code, der die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Systeme und Daten gefährden soll. Bösartige Dateien stellen eine aktive und kritische Bedrohung für Ihre Instanz dar, da Angreifer bösartigen Code automatisch ausführen können, ohne eine Sicherheitslücke auszunutzen. Folgen Sie den bewährten Sicherheitsmethoden und entfernen Sie schädliche Dateien, um Ihre Instance vor potenziellen Angriffen zu schützen.
Problembehebung: Entfernen Sie schädliche Dateien
Informationen zur Identifizierung des spezifischen Amazon Elastic Block Store (Amazon EBS) -Volumes, das schädliche Dateien enthält, finden Sie im Abschnitt Ressourcen in den Funddetails des Merkmals. Nachdem Sie das Volume mit der schädlichen Datei identifiziert haben, erstellen Sie einen Snapshot des Volumes, bevor Sie Änderungen vornehmen, und entfernen Sie dann die identifizierten schädlichen Dateien. Nachdem Sie die schädlichen Dateien entfernt haben, sollten Sie einen Scan durchführen, um sicherzustellen, dass alle Dateien, die möglicherweise durch die schädliche Datei installiert wurden, entfernt wurden. Weitere Informationen finden Sie unter Starten des On-demand Malware-Scans GuardDuty in der.
Auswirkungsmerkmale für EC2-Instances
Die Wirkungsmerkmale beschreiben den potenziellen Explosionsradius einer Exposition. Security Hub analysiert die effektiven Berechtigungen des mit der EC2-Instance verknüpften AWS Identity and Access Management Principals, um zu ermitteln, auf welche nachgelagerten Ressourcen ein Angreifer zugreifen könnte, wenn die Instance kompromittiert wird, sowie die geschäftliche Bedeutung dieser Ressourcen. Jedes Auswirkungsmerkmal identifiziert ein bestimmtes Muster für die Eskalation von Rechten. Um deinen Explosionsradius zu reduzieren, überprüfe die in den einzelnen Eigenschaften beschriebenen Berechtigungspfade und entferne alle unnötigen Rechte.
Gemäß den üblichen Sicherheitsprinzipien gewähren Sie geringste Rechte, indem Sie nur die für die Ausführung einer Aufgabe erforderlichen Berechtigungen gewähren. Ersetzen Sie allgemeine Richtlinien durch spezifische Richtlinien, die nur die spezifischen Aktionen und Ressourcen gewähren, die benötigt werden. Verwenden Sie IAM Access Analyzer, um Empfehlungen auf der Grundlage des Zugriffsverlaufs zu generieren, um ungenutzte zu entfernende Berechtigungen zu identifizieren. Weitere Informationen finden Sie unter Ergebnisse für externen und ungenutzten Zugriff und Anwenden von Berechtigungen mit den geringsten Rechten im IAM-Benutzerhandbuch.
Verfügt über einen privilegierten Executor-Pfad mit Vollzugriff
Der zugehörige Principal kann einer Rechenressource, die bereits über erweiterte Berechtigungen verfügt, eine Rolle übergeben und Code in diese einschleusen. Auf diese Weise kann der Principal die volle Kontrolle über den Executor erlangen und alle Aktionen ausführen, die die Rolle des Executors zulässt.
Hat einen direkten politischen Eskalationspfad
Der zugehörige Principal kann die IAM-Richtlinien direkt ändern, um sich selbst zusätzliche Berechtigungen zu gewähren und so seine eigenen Rechte ohne Zwischenressourcen zu erweitern.
Hat einen Hijack-Pfad für Vertrauensrichtlinien
Der zugehörige Principal kann die Vertrauensrichtlinie einer IAM-Rolle so ändern, dass er selbst diese Rolle übernehmen kann, wodurch er die Berechtigungen der Rolle erhält.
Hat einen Pfad zur Daten-Ransomware
Der zugehörige Principal kann Daten auf eine Weise verschlüsseln oder löschen, die für Ransomware verwendet werden könnte, z. B. durch Verschlüsseln von Amazon S3 S3-Objekten mit einem vom Kunden verwalteten AWS KMS Schlüssel und anschließendes Ändern der Schlüsselrichtlinie.
Hat den Beschränkungspfad entfernt
Der zugehörige Prinzipal kann Sicherheitseinschränkungen wie Zugriffsgrenzen, Dienststeuerungsrichtlinien oder ressourcenbasierte Policy-Deny-Statements aufheben und so die Möglichkeiten anderer Prinzipale oder der Ressource selbst erweitern.
Hat die Rolle bestanden, den Executor-Pfad erstellen
Der zugehörige Principal kann eine neue Rechenressource (z. B. eine Lambda-Funktion oder eine Amazon EC2 EC2-Instance) erstellen und ihr eine privilegierte Rolle zuweisen, wodurch seine eigenen Berechtigungen durch die neue Ressource effektiv gewaschen werden.
Hat den Executor-Pfad für die Swap-Rolle bereits
Der zugehörige Principal kann die einer vorhandenen Rechenressource zugeordnete IAM-Rolle ändern und sie durch eine privilegiertere Rolle ersetzen, um den Zugriff zu eskalieren.
Hat einen Eskalationspfad für die Rollenkette
Der zugeordnete Principal kann eine Abfolge von Rollen übernehmen, wobei jede Rolle in der Kette über immer umfangreichere Berechtigungen verfügt, sodass letztendlich eine Rolle mit hohen Rechten erreicht wird.
Hat einen privilegierten Executor-Pfad für Inject-Code
Der zugehörige Principal kann Code in eine laufende Rechenressource mit erhöhten Rechten einfügen und dabei beliebige Operationen unter der privilegierten Rolle dieser Ressource ausführen.
Hat den Audit-Trail-Pfad deaktiviert
Der zugehörige Principal kann Protokollierungs- oder Überwachungsdienste deaktivieren CloudTrail, um beispielsweise während oder nach einer Eskalation effektiv seine Spuren zu verwischen.
Hat Zugriff auf den vorhandenen Executor-Pfad
Der zugehörige Principal kann eine bestehende Rechenressource aufrufen oder eine Verbindung zu ihr herstellen und die ihr zugeordnete Rolle verwenden, um privilegierte Aktionen auszuführen.
Hat einen Pfad zum Minting von Anmeldeinformationen
Der zugehörige Prinzipal kann neue langfristige Anmeldeinformationen (wie Zugriffsschlüssel oder Anmeldeprofile) für andere Prinzipale erstellen und so persistente Zugriffspfade einrichten, die Passwortrotationen oder Sitzungsablaufzeiten überstehen.
Hat den Datenzugriffspfad bestanden
Der zugehörige Principal kann eine Dienstressource erstellen und ihr eine Rolle zuweisen, die Zugriff auf vertrauliche Daten hat, sodass er über die neue Ressource indirekt auf diese Daten zugreifen kann.
Hat den Pfad zur Übernahme der Rolle, der Aufgabe
Der zugehörige Principal kann eine Rolle an eine geplante oder ereignisgesteuerte Aufgabe übergeben (z. B. eine Lambda-Funktion, die durch ein Ereignis ausgelöst wird), sodass er beliebigen Code mit den Berechtigungen dieser Rolle ausführen kann.
Hat einen Single-Hop-Datenzugriffspfad
Der zugehörige Principal kann über seine vorhandenen Berechtigungen direkt auf vertrauliche Datenressourcen (wie Amazon S3 S3-Buckets oder DynamoDB-Tabellen) zugreifen, ohne dass zwischengeschaltete Eskalationsschritte erforderlich sind.
Hat einen Pfad zur Weiterentwicklung der Fähigkeiten
Der zugeordnete Principal verfügt über einen Pfad zur Eskalation von Rechten, der seine allgemeinen Fähigkeiten über das hinaus erweitert, was seine direkt zugewiesenen Berechtigungen vermuten lassen würden. Dies ist eine allgemeine Klassifizierung für Pfade, die keinem spezifischeren Muster entsprechen.
Geschäftliche Kritikalität
Die geschäftliche Wichtigkeit der primären Ressource, die entweder durch Automatisierungsregeln oder durch Rückschlüsse aus dem Namen und den Tags festgelegt wird.
