Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Behebung von Risiken für EC2-Instances
AWS Security Hub kann Risikoprüfungen für Amazon Elastic Compute Cloud (EC2) -Instances generieren.
Auf der Security Hub-Konsole werden die EC2-Instance, die an einer Gefahrenfeststellung beteiligt war, und ihre identifizierenden Informationen im Abschnitt Ressourcen der Ermittlungsdetails aufgeführt. Programmgesteuert können Sie Ressourcendetails mithilfe der Security Hub GetFindingsV2 CSPM-API abrufen.
Nachdem Sie die Ressource identifiziert haben, die an einer Risikofeststellung beteiligt war, können Sie die Ressource löschen, falls Sie sie nicht benötigen. Das Löschen einer Ressource, die nicht unbedingt erforderlich ist, kann Ihr Risikoprofil und Ihre AWS Kosten reduzieren. Wenn es sich um eine wichtige Ressource handelt, befolgen Sie diese empfohlenen Abhilfemaßnahmen, um das Risiko zu mindern. Die Themen zur Problembehebung sind nach der Art des Merkmals unterteilt.
Ein einziges Expositionsergebnis enthält Probleme, die in mehreren Sanierungsthemen identifiziert wurden. Umgekehrt können Sie ein Expositionsergebnis behandeln und dessen Schweregrad herabsetzen, indem Sie sich nur mit einem Problembehebungsthema befassen. Ihr Ansatz zur Risikominderung hängt von Ihren organisatorischen Anforderungen und Arbeitsbelastungen ab.
Anmerkung
Die in diesem Thema enthaltenen Anleitungen zur Problembehebung erfordern möglicherweise zusätzliche Konsultationen in anderen Ressourcen. AWS
Inhalt
Merkmale bei der Fehlkonfiguration von EC2-Instances
Im Folgenden finden Sie Fehlkonfigurationsmerkmale für EC2-Instances und empfohlene Korrekturmaßnahmen.
Die EC2-Instance ermöglicht den Zugriff auf IMDS mit Version 1
Instance-Metadaten sind Daten über Ihre Amazon EC2-Instance, die Anwendungen zur Konfiguration oder Verwaltung der laufenden Instance verwenden können. Der Instance-Metadatenservice (IMDS) ist eine On-Instance-Komponente, die von Code auf der Instance verwendet wird, um sicher auf Instance-Metadaten zuzugreifen. Wenn IMDS nicht ordnungsgemäß gesichert ist, kann es zu einem potenziellen Angriffsvektor werden, da es Zugriff auf temporäre Anmeldeinformationen und andere vertrauliche Konfigurationsdaten bietet. IMDSv2 bietet einen stärkeren Schutz vor Ausnutzung durch eine sitzungsorientierte Authentifizierung, die ein Sitzungstoken für Metadatenanfragen erfordert und die Sitzungsdauer begrenzt. Konfigurieren Sie Amazon EC2-Instances gemäß den Standardsicherheitsprinzipien für die Verwendung von IMDSv2 und deaktivieren Sie IMDSv1.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieses Risiko zu beheben:
Testen Sie die Anwendungskompatibilität
Bevor Sie IMDSv2 implementieren, testen Sie Ihre Instance, um sicherzustellen, dass sie mit IMDSv2 kompatibel ist. Einige Anwendungen oder Skripts benötigen möglicherweise IMDSv1 für die Kernfunktionen und erfordern eine zusätzliche Konfiguration. Weitere Informationen zu Tools und empfohlenen Pfaden zum Testen der Anwendungskompatibilität finden Sie unter Übergang zur Verwendung von Instance Metadata Service Version 2 im Amazon Elastic Compute Cloud-Benutzerhandbuch.
Aktualisieren Sie die Instanz, um IMDSv2 zu verwenden
Ändern Sie vorhandene Instanzen, um IMDSv2 zu verwenden. Weitere Informationen finden Sie unter Ändern der Instanz-Metadatenoptionen für bestehende Instances im Amazon Elastic Compute Cloud-Benutzerhandbuch.
Wenden Sie Aktualisierungen auf Instanzen in einer Auto Scaling-Gruppe an
Wenn Ihre Instance Teil einer Auto Scaling-Gruppe ist, aktualisieren Sie Ihre Startvorlage oder Startkonfiguration mit einer neuen Konfiguration und führen Sie eine Instance-Aktualisierung durch.
Die Amazon EC2-Instance verfügt über eine Sicherheitsgruppe oder Netzwerk-ACL, die SSH- oder RDP-Zugriff ermöglicht
Mit Fernzugriffsprotokollen wie SSH und RDP können Benutzer von externen Standorten aus eine Verbindung zu Amazon EC2-Instances herstellen und diese verwalten. Wenn Sicherheitsgruppen den uneingeschränkten Zugriff auf diese Protokolle aus dem Internet zulassen, erhöhen sie die Angriffsfläche Ihrer Amazon EC2-Instances, indem sie den Internetzugriff auf Ihre Instance ermöglichen. Beschränken Sie den Fernzugriff gemäß den Standardsicherheitsprinzipien auf bestimmte, vertrauenswürdige IP-Adressen oder -Bereiche.
Behebung: Ändern Sie die Sicherheitsgruppenregeln
Beschränken Sie den Zugriff auf Ihre Amazon EC2-Instances auf bestimmte vertrauenswürdige IP-Adressen. Beschränken Sie den SSH- und RDP-Zugriff auf bestimmte vertrauenswürdige IP-Adressen oder verwenden Sie die CIDR-Notation, um IP-Bereiche anzugeben (z. B. 192.168.1. 0/24). Informationen zum Ändern von Sicherheitsgruppenregeln finden Sie unter Konfigurieren von Sicherheitsgruppenregeln im Amazon Elastic Compute Cloud-Benutzerhandbuch.
Die Amazon EC2-Instance hat eine offene Sicherheitsgruppe
Sicherheitsgruppen dienen als virtuelle Firewalls für Ihre Amazon EC2-Instances zur Steuerung des eingehenden und ausgehenden Datenverkehrs. Offene Sicherheitsgruppen, die uneingeschränkten Zugriff von jeder IP-Adresse aus ermöglichen, können Ihre Instances einem unbefugten Zugriff aussetzen. Beschränken Sie den Zugriff von Sicherheitsgruppen auf bestimmte IP-Adressen und Ports gemäß den Standardsicherheitsprinzipien.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieser Gefahr zu begegnen:
Überprüfen Sie die Regeln für Sicherheitsgruppen und bewerten Sie die aktuelle Konfiguration
Prüfen Sie, welche Ports geöffnet sind und über weite IP-Bereiche zugänglich sind, z. (0.0.0.0/0 or ::/0) B. Anweisungen zum Anzeigen von Sicherheitsgruppendetails finden Sie DescribeSecurityGroups in der Referenz zum Portierungsassistenten für.NET-API.
Ändern Sie die Regeln für Sicherheitsgruppen
Ändern Sie Ihre Sicherheitsgruppenregeln, um den Zugriff auf bestimmte vertrauenswürdige IP-Adressen oder Bereiche einzuschränken. Erwägen Sie bei der Aktualisierung Ihrer Sicherheitsgruppenregeln, die Zugriffsanforderungen für verschiedene Netzwerksegmente zu trennen, indem Sie Regeln für jeden erforderlichen Quell-IP-Bereich erstellen oder den Zugriff auf bestimmte Ports einschränken. Informationen zum Ändern von Sicherheitsgruppenregeln finden Sie unter Sicherheitsgruppenregeln konfigurieren im Amazon EC2-Benutzerhandbuch.
Merkmale der Erreichbarkeit für EC2-Instances
Im Folgenden finden Sie Erreichbarkeitsmerkmale für EC2-Instances und empfohlene Abhilfemaßnahmen.
Die EC2-Instance ist über das Internet erreichbar
Amazon EC2-Instances mit Ports, die über das Internet erreichbar sind, können Ihre Instance gefährden. Die Erreichbarkeit kann über ein Internet-Gateway (einschließlich Instances hinter Application Load Balancers oder Classic Load Balancers), eine VPC-Peering-Verbindung oder ein virtuelles VPN-Gateway erfolgen. Implementieren Sie gemäß den Standardsicherheitsprinzipien Netzwerkzugriffskontrollen mit den geringsten Rechten, indem Sie den eingehenden Datenverkehr auf die erforderlichen Quellen und Ports beschränken.
Abhilfe
Ergreifen Sie eine oder mehrere der folgenden Maßnahmen, um dieses Risiko zu beheben:
Sicherheitsgruppenregeln ändern oder entfernen
Öffnen Sie auf der Registerkarte Ressourcen die Ressource für die Amazon EC2-Sicherheitsgruppe. Prüfen Sie, ob ein Internetzugang erforderlich ist, damit die Instance funktioniert. Ändern oder entfernen Sie die Regeln für eingehende Sicherheitsgruppen, die uneingeschränkten Zugriff ermöglichen (0.0.0.0/0oder::/0). Implementieren Sie restriktivere Regeln, die auf bestimmten IP-Bereichen oder Sicherheitsgruppen basieren. Wenn ein eingeschränkter öffentlicher Zugriff erforderlich ist, beschränken Sie den Zugriff auf bestimmte Ports und Protokolle, die für die Funktion der Instanz erforderlich sind. Anweisungen zur Verwaltung von Sicherheitsgruppenregeln finden Sie unter Sicherheitsgruppenregeln konfigurieren im Amazon EC2-Benutzerhandbuch.
Aktualisieren Sie die Netzwerk-ACLs
Überprüfen und ändern Sie die Netzwerkzugriffskontrolllisten (ACLs), die dem Subnetz der Instance zugeordnet sind. Stellen Sie sicher, dass die ACL-Einstellungen mit den Änderungen der Sicherheitsgruppe übereinstimmen und nicht unbeabsichtigt den öffentlichen Zugriff zulassen. Anweisungen zum Ändern von Netzwerk-ACLs finden Sie unter Arbeiten mit Netzwerk-ACLs im Amazon VPC-Benutzerhandbuch.
Alternative Zugriffsmethoden
Erwägen Sie die folgenden Optionen für alternative Zugriffsmethoden:
-
NAT-Gateway für ausgehende Internetkonnektivität verwenden — Für Instances in privaten Subnetzen, die Zugriff auf das Internet benötigen (z. B. um Updates herunterzuladen), sollten Sie erwägen, ein NAT-Gateway zu verwenden, anstatt eine öffentliche IP-Adresse zuzuweisen. Ein NAT-Gateway ermöglicht es Instances in privaten Subnetzen, ausgehende Verbindungen zum Internet herzustellen und gleichzeitig eingehende Verbindungen aus dem Internet zu verhindern.
-
Verwenden Sie Systems Manager Session Manager — Session Manager bietet sicheren Shell-Zugriff auf Ihre Amazon EC2-Instances, ohne dass Sie eingehende Ports benötigen, SSH-Schlüssel verwalten oder Bastion-Hosts verwalten müssen.
-
Verwenden Sie WAF und Elastic Load Balancing oder Application Load Balancer — Für Instances, auf denen Webanwendungen ausgeführt werden, sollten Sie die Verwendung eines LB in Kombination mit der AWS Web Application Firewall (WAF) in Betracht ziehen. LBs können so konfiguriert werden, dass Ihre Instances in privaten Subnetzen ausgeführt werden können, während die LB in einem öffentlichen Subnetz ausgeführt wird und den Internetverkehr abwickelt. Das Hinzufügen einer WAF zu Ihrem Load Balancer bietet zusätzlichen Schutz vor Web-Exploits und Bots.
Sicherheitsmerkmale für EC2-Instances
Im Folgenden finden Sie Schwachstellenmerkmale für EC2-Instances und empfohlene Maßnahmen zur Behebung.
Die EC2-Instance weist Software-Sicherheitslücken auf, die über das Netzwerk ausgenutzt werden können und die Wahrscheinlichkeit einer Ausnutzung hoch ist
Softwarepakete, die auf EC2-Instances installiert sind, können Common Vulnerabilities and Exposures (CVEs) ausgesetzt sein. Kritische CVEs stellen erhebliche Sicherheitsrisiken für Ihre Umgebung dar. AWS Unbefugte Principals können diese ungepatchten Sicherheitslücken ausnutzen, um die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten zu gefährden oder um auf andere Systeme zuzugreifen. Kritische Sicherheitslücken mit hoher Ausnutzungswahrscheinlichkeit stellen unmittelbare Sicherheitsbedrohungen dar, da Exploit-Code möglicherweise bereits öffentlich verfügbar ist und von Angreifern oder automatisierten Scan-Tools aktiv genutzt wird. Patchen Sie diese Sicherheitslücken, um Ihre Instanz zu schützen.
Behebung: Aktualisieren Sie die betroffenen Instanzen
Lesen Sie den Abschnitt „Referenzen“ auf der Registerkarte „Sicherheitslücke“ des Merkmals. Die Dokumentation des Anbieters kann spezifische Anleitungen zur Problembehebung enthalten. Folgen Sie den entsprechenden Abhilfemaßnahmen anhand der folgenden allgemeinen Richtlinien:
Verwenden Sie Systems Manager Patch Manager, um Patches sowohl für Betriebssysteme als auch für Anwendungen anzuwenden. Patch Manager hilft Ihnen dabei, Betriebssystem- und Software-Patches automatisch auf großen Gruppen von Instanzen auszuwählen und bereitzustellen. Wenn Sie Patch Manager nicht konfiguriert haben, aktualisieren Sie das Betriebssystem auf jeder betroffenen Instanz manuell.
Aktualisieren Sie die betroffenen Anwendungen gemäß den vom Hersteller empfohlenen Verfahren auf ihre neuesten sicheren Versionen. Um Anwendungsaktualisierungen über mehrere Instanzen hinweg zu verwalten, sollten Sie den Systems Manager State Manager verwenden, um Ihre Software in einem konsistenten Zustand zu halten. Wenn keine Updates verfügbar sind, sollten Sie erwägen, die anfällige Anwendung zu entfernen oder zu deaktivieren, bis ein Patch veröffentlicht wird. Sie können auch andere Maßnahmen ergreifen, z. B. den Netzwerkzugriff auf die Anwendung einschränken oder anfällige Funktionen deaktivieren.
Folgen Sie den spezifischen Hinweisen zur Behebung, die im Amazon Inspector-Ergebnis enthalten sind. Dies könnte das Ändern der Sicherheitsgruppenregeln, das Ändern der Instanzkonfigurationen oder das Anpassen der Anwendungseinstellungen beinhalten.
Prüfen Sie, ob die Instanz Teil der Auto Scaling Group ist. AMI-replacement Das Patchen erfolgt auf unveränderlichen Infrastrukturen, indem die AMI-ID aktualisiert wird, die für die Bereitstellung neuer Amazon EC2-Instances in einer Auto Scaling-Gruppe konfiguriert ist. Wenn Sie ein custom/golden AMI verwenden, erstellen Sie eine Instance mit dem neuen AMI, passen Sie dann die Instance an und erstellen Sie ein neues goldenes AMI. Weitere Informationen finden Sie unter Patching von AMI-Updates (mit gepatchten AMIs für Auto Scaling-Gruppen).
Zukünftige Überlegungen
Um zukünftige Vorfälle zu verhindern, sollten Sie die Implementierung eines Schwachstellen-Management-Programms in Betracht ziehen. Amazon Inspector kann so konfiguriert werden, dass Ihre Instances automatisch nach CVEs durchsucht werden. Amazon Inspector kann für automatische Abhilfemaßnahmen auch in Security Hub integriert werden. Erwägen Sie die Implementierung eines regelmäßigen Patching-Zeitplans mithilfe von Systems Manager Maintenance Windows, um Unterbrechungen Ihrer Instances so gering wie möglich zu halten.
Die Amazon EC2-Instance weist Software-Sicherheitslücken auf
Softwarepakete, die auf Amazon EC2-Instances installiert sind, können Common Vulnerabilities and Exposures (CVEs) ausgesetzt sein. Unkritische CVEs stellen Sicherheitslücken dar, die im Vergleich zu kritischen CVEs einen geringeren Schweregrad oder eine geringere Ausnutzbarkeit aufweisen. Diese Sicherheitslücken stellen zwar ein geringeres unmittelbares Risiko dar, aber Angreifer können diese ungepatchten Sicherheitslücken dennoch ausnutzen, um die Vertraulichkeit, Integrität oder Verfügbarkeit von Daten zu gefährden oder auf andere Systeme zuzugreifen. Patchen Sie diese Sicherheitslücken gemäß den bewährten Sicherheitsmethoden, um Ihre Instanz vor Angriffen zu schützen.
Behebung: Aktualisieren Sie die betroffenen Instanzen
Verwenden Sie AWS Systems Manager Patch Manager, um Patches für Betriebssysteme anzuwenden. Patch Manager hilft Ihnen dabei, Betriebssystem- und Software-Patches automatisch auf großen Gruppen von Instanzen auszuwählen und bereitzustellen. Wenn Sie Patch Manager nicht konfiguriert haben, aktualisieren Sie das Betriebssystem auf jeder betroffenen Instanz manuell.
Aktualisieren Sie die betroffenen Anwendungen gemäß den vom Hersteller empfohlenen Verfahren auf ihre neuesten sicheren Versionen. Um Anwendungsaktualisierungen über mehrere Instanzen hinweg zu verwalten, sollten Sie den AWS Systems Manager State Manager verwenden, um Ihre Software in einem konsistenten Zustand zu halten. Wenn keine Updates verfügbar sind, sollten Sie erwägen, die anfällige Anwendung zu entfernen oder zu deaktivieren, bis ein Patch veröffentlicht wird. Sie können auch andere Maßnahmen ergreifen, z. B. den Netzwerkzugriff auf die Anwendung einschränken oder anfällige Funktionen deaktivieren.
Folgen Sie den spezifischen Hinweisen zur Behebung, die im Amazon Inspector-Ergebnis enthalten sind. Dies könnte das Ändern der Sicherheitsgruppenregeln, das Ändern der Instanzkonfigurationen oder das Anpassen der Anwendungseinstellungen beinhalten.
Prüfen Sie, ob die Instanz Teil der Auto Scaling Group ist. AMI-replacement Das Patchen erfolgt auf unveränderlichen Infrastrukturen, indem die AMI-ID aktualisiert wird, die für die Bereitstellung neuer Amazon EC2-Instances in einer Auto Scaling-Gruppe konfiguriert ist. Wenn Sie ein custom/golden AMI verwenden, erstellen Sie eine Instance mit dem neuen AMI, passen Sie dann die Instance an und erstellen Sie ein neues goldenes AMI. Weitere Informationen finden Sie unter Patching von AMI-Updates (mit gepatchten AMIs für Auto Scaling-Gruppen).
Zukünftige Überlegungen
Um zukünftige Vorfälle zu verhindern, sollten Sie die Implementierung eines Schwachstellen-Management-Programms in Betracht ziehen. Amazon Inspector kann so konfiguriert werden, dass Ihre Instances automatisch nach CVEs durchsucht werden. Amazon Inspector kann für automatische Abhilfemaßnahmen auch in Security Hub integriert werden. Erwägen Sie die Implementierung eines regelmäßigen Patching-Zeitplans mithilfe von Systems Manager Maintenance Windows, um Unterbrechungen Ihrer Instances so gering wie möglich zu halten.
Die EC2-Instance hat ein Betriebssystem End-Of-Life
Auf der EC2-Instance wird ein Betriebssystem ausgeführt, das nicht mehr gültig ist und vom ursprünglichen Entwickler nicht mehr unterstützt oder gewartet wird. Dadurch ist die Instance Sicherheitslücken und potenziellen Angriffen ausgesetzt. Wenn Betriebssysteme das Ende ihrer Lebensdauer erreichen, stellen Anbieter in der Regel die Veröffentlichung neuer Sicherheitshinweise ein. Bestehende Sicherheitshinweise können auch aus den Feeds der Anbieter entfernt werden. Infolgedessen könnte Amazon Inspector möglicherweise die Generierung von Ergebnissen für bekannte CVEs einstellen, was zu weiteren Sicherheitslücken führen würde.
Informationen zu Betriebssystemen, die das Ende ihrer Lebensdauer erreicht haben und die von Amazon Inspector erkannt werden können, finden Sie im Amazon Inspector-Benutzerhandbuch unter Nicht mehr erhältliche Betriebssysteme.
Abhilfe: Aktualisieren Sie auf eine unterstützte Betriebssystemversion
Aktualisieren Sie auf eine unterstützte Version des Betriebssystems. Öffnen Sie im Expositionsergebnis die Ressource, um auf die betroffene Ressource zuzugreifen. Bevor Sie die Betriebssystemversion auf Ihrer Instance aktualisieren, erstellen Sie einen Snapshot oder ein AMI-Backup für den Fall, dass Sie ein Rollback durchführen müssen. Sehen Sie sich anschließend im Amazon Inspector-Benutzerhandbuch unter Unterstützte Betriebssysteme die verfügbaren Versionen an, um eine Liste der aktuell unterstützten Betriebssystemversionen zu finden.
Die EC2-Instance enthält bösartige Softwarepakete
Bösartige Pakete sind Softwarekomponenten, die schädlichen Code enthalten, der die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Systeme und Daten gefährden soll. Bösartige Pakete stellen eine aktive und kritische Bedrohung für Ihre Instanz dar, da Angreifer bösartigen Code automatisch ausführen können, ohne eine Sicherheitslücke auszunutzen. Entfernen Sie bösartige Pakete gemäß den bewährten Sicherheitsmethoden, um Ihre Instance vor potenziellen Angriffen zu schützen.
Problembehebung: Entfernen Sie bösartige Pakete
Sehen Sie sich die Details des bösartigen Pakets im Abschnitt „Referenzen“ des Merkmals auf der Registerkarte „Sicherheitslücke“ an, um sich ein Bild von der Bedrohung zu machen. Entfernen Sie die identifizierten schädlichen Pakete mithilfe des entsprechenden Paketmanagers. Ein Beispiel finden Sie im Paketverwaltungstool im Amazon Linux 2023-Benutzerhandbuch. Nachdem Sie die schädlichen Pakete entfernt haben, sollten Sie erwägen, einen Scan durchzuführen, um sicherzustellen, dass alle Pakete, die möglicherweise durch den bösartigen Code installiert wurden, entfernt wurden. Weitere Informationen finden Sie unter Starten des On-demand Malware-Scans GuardDuty im.
Die EC2-Instanz enthält schädliche Dateien
Bösartige Dateien enthalten schädlichen Code, der die Vertraulichkeit, Integrität und Verfügbarkeit Ihrer Systeme und Daten gefährden soll. Bösartige Dateien stellen eine aktive und kritische Bedrohung für Ihre Instanz dar, da Angreifer bösartigen Code automatisch ausführen können, ohne eine Sicherheitslücke auszunutzen. Entfernen Sie schädliche Dateien gemäß den bewährten Sicherheitsmethoden, um Ihre Instance vor potenziellen Angriffen zu schützen.
Problembehebung: Entfernen Sie bösartige Dateien
Um das spezifische Amazon Elastic Block Store (Amazon EBS) -Volume zu identifizieren, das schädliche Dateien enthält, überprüfen Sie den Abschnitt Ressourcen in den Funddetails des Merkmals. Nachdem Sie das Volume mit der schädlichen Datei identifiziert haben, erstellen Sie einen Snapshot des Volumes, bevor Sie Änderungen vornehmen, und entfernen Sie dann die identifizierten schädlichen Dateien. Nachdem Sie die schädlichen Dateien entfernt haben, sollten Sie erwägen, einen Scan durchzuführen, um sicherzustellen, dass alle Dateien, die möglicherweise durch die schädliche Datei installiert wurden, entfernt wurden. Weitere Informationen finden Sie unter Starten des On-demand Malware-Scans GuardDuty im.
Auswirkungsmerkmale für EC2-Instances
Die Wirkungsmerkmale beschreiben den potenziellen Explosionsradius einer Exposition. Security Hub analysiert die effektiven Berechtigungen des AWS Identity and Access Management Principals, der mit der EC2-Instance verknüpft ist, um zu ermitteln, auf welche Downstream-Ressourcen ein Angreifer zugreifen könnte, wenn die Instance kompromittiert wird. Jedes Auswirkungsmerkmal identifiziert ein bestimmtes Muster der Rechteeskalation. Um Ihren Explosionsradius zu verringern, überprüfen Sie die in den einzelnen Merkmalen beschriebenen Berechtigungspfade und entfernen Sie alle unnötigen Rechte.
Gewähren Sie gemäß den Standardsicherheitsprinzipien die geringsten Rechte, indem Sie nur die Berechtigungen gewähren, die für die Ausführung einer Aufgabe erforderlich sind. Ersetzen Sie allgemeine Richtlinien durch gezielte Richtlinien, die nur die spezifischen Aktionen und Ressourcen gewähren, die benötigt werden. Verwenden Sie IAM Access Analyzer, um ungenutzte Berechtigungen zu identifizieren, die entfernt werden müssen, um Empfehlungen auf der Grundlage des Zugriffsverlaufs zu generieren. Weitere Informationen finden Sie unter Ergebnisse für externen und ungenutzten Zugriff und Anwenden von Berechtigungen mit geringsten Rechten im IAM-Benutzerhandbuch.
Hat vollen Zugriff auf den privilegierten Executor-Pfad
Der zugehörige Principal kann eine Rolle an eine Rechenressource übergeben und Code in eine Rechenressource einfügen, die bereits über erhöhte Berechtigungen verfügt. Auf diese Weise kann der Principal die volle Kontrolle über den Executor erlangen und alle Aktionen ausführen, die die Rolle des Executors zulässt.
Verfügt über einen direkten Eskalationspfad
Der zugehörige Principal kann IAM-Richtlinien direkt ändern, um sich selbst zusätzliche Berechtigungen zu gewähren, sodass er seine eigenen Rechte ohne Zwischenressourcen erweitern kann.
Hat einen Hijack-Pfad mit Vertrauensrichtlinien
Der zugehörige Principal kann die Vertrauensrichtlinie einer IAM-Rolle so ändern, dass er diese Rolle selbst übernehmen kann und die Berechtigungen der Rolle erhält.
Hat einen Pfad zur Daten-Ransomware
Der zugehörige Principal kann Daten auf eine Weise verschlüsseln oder löschen, die für Ransomware verwendet werden könnte, z. B. durch Verschlüsseln von Amazon S3-Objekten mit einem vom Kunden verwalteten AWS KMS Schlüssel und anschließendes Ändern der Schlüsselrichtlinie.
Hat den Pfad zum Entfernen von Einschränkungen
Der zugeordnete Prinzipal kann Sicherheitseinschränkungen wie Berechtigungsgrenzen, Dienststeuerungsrichtlinien oder ressourcenbasierte Richtlinien zum Ablehnen von Richtlinien aufheben und so die Möglichkeiten anderer Principals oder der Ressource selbst erweitern.
Hat die Rolle übergeben, den Executor-Pfad erstellen
Der zugehörige Principal kann eine neue Rechenressource (z. B. eine Lambda-Funktion oder eine Amazon EC2-Instance) erstellen und ihr eine privilegierte Rolle zuweisen, wodurch seine eigenen Berechtigungen durch die neue Ressource effektiv durchsucht werden.
Hat einen Executor-Pfad für die Swap-Role
Der zugehörige Principal kann die einer vorhandenen Rechenressource zugeordnete IAM-Rolle ändern und sie durch eine privilegiertere Rolle ersetzen, um den Zugriff zu eskalieren.
Hat einen Eskalationspfad in der Rollenkette
Der zugehörige Principal kann eine Reihe von Rollen übernehmen, wobei jede Rolle in der Kette über zunehmend erweiterte Berechtigungen verfügt und letztendlich eine Rolle mit hohen Rechten erreicht.
Hat einen privilegierten Executor-Pfad zum Eingeben von Code
Der zugehörige Principal kann Code in eine laufende Rechenressource mit erhöhten Berechtigungen injizieren und so beliebige Operationen unter der privilegierten Rolle dieser Ressource ausführen.
Hat einen deaktivierten Audit-Trail-Pfad
Der zugehörige Principal kann beispielsweise Protokollierungs- oder Überwachungsdienste deaktivieren CloudTrail und so seine Spuren während oder nach einer Eskalation effektiv verwischen.
Hat Zugriff auf den vorhandenen Executor-Pfad
Der zugeordnete Principal kann eine vorhandene Rechenressource aufrufen oder eine Verbindung zu einer vorhandenen Rechenressource herstellen und die ihm zugeordnete Rolle verwenden, um privilegierte Aktionen auszuführen.
Hat einen Pfad zum Minten von Anmeldeinformationen
Der zugehörige Principal kann neue langfristige Anmeldeinformationen (wie Zugriffsschlüssel oder Anmeldeprofile) für andere Principals erstellen und so persistente Zugriffspfade einrichten, die Kennwortrotationen oder Sitzungsabläufe überstehen.
Hat den Zugriffspfad für Rollendaten bestanden
Der zugeordnete Principal kann eine Serviceressource erstellen und ihr eine Rolle zuweisen, die Zugriff auf vertrauliche Daten hat. Dadurch erhält er über die neue Ressource indirekten Zugriff auf diese Daten.
Hat die Rolle, die Aufgabe, den Hijack-Pfad bestanden
Der zugehörige Principal kann eine Rolle an eine geplante oder ereignisgesteuerte Aufgabe (z. B. eine durch ein Ereignis ausgelöste Lambda-Funktion) übergeben, sodass er beliebigen Code mit den Berechtigungen dieser Rolle ausführen kann.
Hat einen Single-Hop-Datenzugriffspfad
Der zugehörige Principal kann über seine vorhandenen Berechtigungen direkt auf vertrauliche Datenressourcen (wie Amazon S3-Buckets oder DynamoDB-Tabellen) zugreifen, ohne dass zwischengeschaltete Eskalationsschritte erforderlich sind.
Verfügt über einen Pfad zur Weiterentwicklung der Fähigkeiten
Der zugehörige Schulleiter verfügt über einen Pfad zur Rechteeskalation, der seine allgemeinen Fähigkeiten über das hinaus erweitert, was die direkt zugewiesenen Berechtigungen vermuten lassen würden. Dies ist eine allgemeine Klassifizierung für Pfade, die keinem spezifischeren Muster entsprechen.
