حسنًا، إنه مجرد معرف حساب AWS

دعنا نتعمق في موضوع مثير للجدل بشكل كبير في مجتمع أمان AWS: معرفات حسابات AWS.

ربما تظن أن الأمر مجرد رقم، أليس كذلك؟ حسنًا، دعنا نرى ما إذا كنت ستتمسك بنفس الرأي بحلول نهاية هذه التدوينة.

ما هي المشكلة الكبيرة مع معرفات حساب AWS؟

أولاً وقبل كل شيء، دعونا نوضح أساسياتنا.

يحتوي كل حساب AWS على معرف فريد مكون من 12 رقمًا.

ببساطة، معرف حساب AWS الخاص بك هو هويتك في سحابة AWS. إذا احتاج شخص ما إلى الوصول إلى مواردك أو إذا كنت بحاجة إلى مشاركة مواردك عمدًا مع الآخرين، فيجب عليك تزويدهم بمعرف حساب AWS الخاص بك.

قوة معرفة معرف الحساب

تخيل أنك أحد أعضاء الفريق الأحمر أو أحد مخربي الاختراق (أو الأسوأ من ذلك، أحد المهاجمين). باستخدام معرف حساب فقط، يمكنك:

كيانات IAM Bruteforce: يمكنك استخدام القوة الغاشمة للتحقق من وجود مستخدمي IAM وأدوارهم المشتركة. هذه المعلومات مفيدة للغاية في هجمات التصيد الاحتيالي أو الهندسة الاجتماعية أو رش كلمات المرور. يمكنك أيضًا رؤية أنماط أسماء المستخدمين لمستخدمي IAM (خاصة أولئك الذين ينتمون إلى فريق البنية التحتية أو فريق DevOps المستهدف). يمكن للمهاجم الذي لديه هذه المعلومات أن يصمم رسائل بريد إلكتروني تصيدية مقنعة أو نصوص تصيد صوتي تستهدف فريق السحابة الخاص بالشركة.

اكتشف الخدمات المستخدمة: من خلال التحقق من محدد الأدوار المرتبطة بخدمة AWSيمكنك استنتاج خدمات AWS أو أدوات الأمان التابعة لجهات خارجية التي تستخدمها الشركة.

مثال: إذا وجدت دورًا باسم AWSServiceRoleForAmazonGuardDutyقد يستخدم الحساب GuardDuty للكشف عن التهديدات. أقول “قد” هنا لأن تمكين خدمة AWS مثل GuardDuty سيؤدي إلى إنشاء الدور المرتبط بالخدمة. ولكن إذا أوقفت تشغيله، فلن تحذف AWS الدور. إذا لم يكن الدور موجودًا، فمن المؤكد بنسبة 100% أن GuardDuty غير ممكّن في الحساب المستهدف.

ملاحظة: يمكنك استخدام نفس التقنية لتحديد ما إذا كان حساب AWS المستهدف يستخدم خدمات مثل EKS أو ECS، مما يسمح لك بضبط هجماتك وحمولات تطبيق الويب.

البحث عن الموارد العامة: يمكنك البحث عن الموارد العامة غير المقصودة للشركة المستهدفة، بدءًا من لقطات EBS العامة وحتى صور AMIs.

الموارد المرتبطة (المتخصصة): يمكنك التأكد من أن المورد المسرب ينتمي إلى شركة معينة.

يمكن أن تكون معرفات الحساب حاسمة في تقارير HackerOne أو تقارير مكافأة الأخطاء الأخرى حيث يمكنك ربط دلو S3 غير مهيأ بشكل صحيح بتسريب معلومات التعريف الشخصية الخاصة بالشركة المستهدفة من خلال مطابقة معرفات الحساب.

تجنب الكشف (المكانة): بعض أدوات الأمان، مثل موقع CanaryTokens.org، قم بإنشاء بيانات اعتماد من حسابات AWS المعروفة. سيؤدي تحديد معرف الحساب لهذه البيانات التي تم تسريبها عمدًا قبل التحقق من أذوناتها إلى تجنب تشغيل الإنذارات.

مثال من العالم الحقيقي

تخيل أنك وجدت كائنًا عامًا مستضافًا على دلو S3 الخاص بالهدف. يمكن أن يكون أي شيء – ملف PDF أو ملف صورة أو مجرد بعض ملفات javascript وCSS:

https://cloudsecclub-bucket.s3.amazonaws.com/some.jpg

يمكنك استخراج معرف الحساب من عنوان URL هذا باستخدام البحث عن حساب s3 أداة. ماذا الآن؟

ترسم كل معلومة تجمعها صورة أوضح لبصمة AWS الخاصة بالشركة. وتذكر أننا بدأنا برابط مجموعة فقط!

منجم الذهب ريكون

أثناء بحثي حول أمن السحابة، رأيت معرفات الحسابات تظهر في أماكن متعددة:

الصورة الاكبر

إذن، هل يشكل معرف حساب AWS خطرًا أمنيًا؟

إليكم وجهة نظري: معرف الحساب ليس مفيدًا ولا يمثل نقطة ضعف مباشرة. بل هو أقرب إلى مفتاح يساعد في مواجهة هجمات السحابة الأخرى.

إن معرفة عنوان منزل شخص ما لا يشكل خرقًا أمنيًا. ولكن إذا ساعد هذا العنوان اللص في التخطيط لهجومه، فإنه يصبح جزءًا من معادلة الأمن.

تنشأ حساسية معرفات حساب AWS من قدرتها على جلب الموارد وربطها وتجميع المعلومات للهجمات الأخرى.

ما أعرفه هو أن هذه تقنية قوية في عملية الاستطلاع أو الفريق الأحمر.

هل أنت قلق بشأن تعرض حساب AWS الخاص بك للموارد العامة؟

ماذا لو تمكنت من التأكد من عدم وجود أصول عامة غير مقصودة في المقام الأول؟

“دورتي القادمة،”تأمين AWS: استراتيجيات للفرق المرنة“يُعلمك كيفية تأمين بيئة AWS بأكملها، وليس فقط إدارة معرفات الحساب. تعلم كيفية منع تعرض الموارد، وتنفيذ عناصر تحكم قوية، وتجنب الأخطاء المكلفة – كل ذلك مصمم خصيصًا للفرق الصغيرة. 🔥

تنبيه مبكر: سجل الآن للحصول على خصم 60% وتحويل وضع الأمان الخاص بك في AWS من رد الفعل إلى الاستباقي!