Caminhos de ataque e escalação de privilégios

A ideia de caminho

Blocos de construção comuns

• Exposição de credenciais: senhas e tokens em arquivos, scripts, memória, histórico do shell e configuração, reutilizados entre sistemas.
• Excesso de privilégio: contas e papéis com muito mais permissão do que a tarefa exige, incluindo admins que fazem login em estações de trabalho comuns.
• Relações de confiança: um sistema em que muitos outros confiam (um servidor de build, um host de gerenciamento) vira um pivô para todos eles.
• Contas de serviço fracas: de longa duração, altamente privilegiadas, com senhas que nunca são rotacionadas.
• Delegação ou permissões mal configuradas: no Active Directory, no RBAC do Kubernetes e no IAM de nuvem, onde o direito de passar ou assumir um papel pode ser o direito de se tornar esse papel.
• Falhas locais sem patch: um ponto de apoio de baixo privilégio que vira administrador por meio de uma vulnerabilidade conhecida.

Exemplo: uma permissão de nuvem que é mais do que parece

{
  "Version": "2012-10-17",
  "Statement": [
    { "Effect": "Allow", "Action": ["iam:PassRole", "lambda:CreateFunction", "lambda:InvokeFunction"], "Resource": "*" }
  ]
}

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "iam:PassRole",
      "Resource": "arn:aws:iam::123456789012:role/app-lambda-low-privilege",
      "Condition": { "StringEquals": { "iam:PassedToService": "lambda.amazonaws.com" } }
    },
    { "Effect": "Allow", "Action": ["lambda:CreateFunction", "lambda:InvokeFunction"], "Resource": "arn:aws:lambda:us-east-1:123456789012:function:app-*" }
  ]
}

Defendendo-se contra cadeias

• Mapeie os caminhos você mesmo: execute uma ferramenta de caminhos de ataque (BloodHound para Active Directory, um analisador de IAM para nuvem) e trate os caminhos mais curtos até suas joias da coroa como correções prioritárias.
• Administração em camadas (tiering): contas privilegiadas só fazem login em sistemas privilegiados, nunca em estações de trabalho ou servidores de uma camada inferior.
• Privilégio mínimo e acesso just-in-time: sem direitos de admin permanentes, elevações curtas com aprovação e registro.
• Proteja e rotacione credenciais: gerenciadores de segredos, contas de serviço gerenciadas ou de grupo, nenhum segredo em arquivos.
• Segmente a rede e reduza a confiança entre sistemas; não deixe um host alcançar tudo.
• Detecte as etapas: alerte sobre mudanças de privilégio, novas assunções de papel, padrões incomuns de autenticação e acesso a credenciais.
• Valide a detecção emulando técnicas com segurança (por exemplo, com o Atomic Red Team) em um laboratório ou com aprovação.