W dzisiejszych czasach powszechną praktyką jest przeprowadzanie okresowych testów bezpieczeństwa lokalnej sieci, jednakże rzadko kiedy właściciele firm decydują się na podobne testy ich środowisk chmurowych. Musimy zrozumieć nowe zagrożenia i ryzyka, które pojawiły się wraz z usługami chmurowymi oraz jak powinniśmy zmienić nasze podejście do ich testowania. Celem mojej prezentacji jest pokazanie konieczności testowania środowiska chmurowego oraz jak bardzo różni się ono od testów środowiska opartego o klasyczną architekturę. W formie dema przedstawię przykładowy atak na firmę wykorzystującą usługi AWS. Wykorzystując podatność w aplikacji webowej, a następnie szereg drobnych zaniedbań w konfiguracji AWS, pokażę jak potencjalny atakujący może krok po kroku przejąć rolę administratora AWS, a następnie usunąć wszystkie dowody swojej aktywności.

1. Attacking AWS: the full cyber kill chain
Paweł Rzepa
Senior Security Consultant, SecuRing

2. www.plnog.pl

3. www.plnog.pl

4. www.plnog.pl

6. IDS
SOC
DLP
Firewall
- Is it safe?
- F@#ck it,
deploy!
Cloud environment

7. www.securing.biz
#whoami
• Senior Security Consultant in
- Pentesting
- Cloud security assessment
• Blog: https://medium.com/@rzepsky
• Twitter: @Rzepsky

8. The story
www.securing.biz

9. www.securing.biz

10. www.securing.biz

11. www.securing.biz
source: https://media.images.yourquote.in/post/large/0/0/12/20/x95x3598.jpg

12. www.securing.biz

13. What is metadata?
• Data about your instance
• It's a link-local address, accessible ONLY from your
instance!
• May include access keys to Instance Profile:
www.securing.biz
http://169.254.169.254/latest/meta-data/iam/security-credentials/
http://169.254.169.254/latest/meta-data/

14. www.securing.biz
Somewhere in the other
end of the Internet...

16. Identify the IP owner
www.securing.biz
Public AWS IP ranges: https://amzn.to/2EbvP0J
Or use AWS EC2 reachability test: https://bit.ly/30274Ag

18. www.securing.biz

19. The real story…
www.securing.biz
Source: https://bit.ly/2mhhvRb

20. www.securing.biz

22. Bruteforce permissions
www.securing.biz

23. Enumerate, enumerate, enumerate!
Pacu (Domain Analytics:ec2_pivot) > run ec2__enum
(...)
Pacu (Domain Analytics:ec2_pivot) > data EC2
(...)
VS
www.securing.biz

24. There's a stopped instance (i-08d6cf0eaf210a552) with
instance-profile/admin attached!
www.securing.biz
What can we find out there?

25. www.securing.biz

26. www.securing.biz
Modified User Data

27. www.securing.biz
User
Data

29. Staying under the hoodStaying under the hood

30. CloudTrail by default monitors all regions

31. CloudTrail: ways to hide your fingerprints

32. www.securing.biz
Disrupt monitoring services

33. www.securing.biz
Minimize monitoring services

34. www.securing.biz
Minimize monitoring services

35. Persist access
• Bind shell in User Data with backdoor in Security Groups
• Lambda backdoor which creates IAM user when specific
CloudWatch Event occurs
• Backdoor via cross-account Trust Policy
• Add extra keys to existing user
www.securing.biz

37. www.securing.biz
Without monitoring it’s hard to detect a 2nd key
pair… even for legit administrator 😲

38. www.securing.biz
The real story…
Source: https://bit.ly/30qQo5c

39. Let's switch perspective to the blue team
www.securing.biz

40. www.securing.biz
Mitigation: dynamically lock
role’s credentials
More: https://bit.ly/2HFJYtk

41. www.securing.biz
Mitigation: separate access to
logs
More best practices: https://bit.ly/2lTaq9r

42. www.securing.biz
Mitigation: follow the AWS CIS Foundations
Benchmark
Source: https://bit.ly/2lP8fnb

43. Mitigation: aggregate
security events
www.securing.biz
Source: https://bit.ly/2kPhYtp

44. How to detect all security issues?
www.securing.biz

45. • Are there any extra,
undocumented resources?
• Is the system architecture free
from design flaws?
Cloud security assessment: architecture review
www.securing.biz

46. Cloud security assessment: configuration review
• Are all cloud services configured
in compliance with best
practices?
www.securing.biz

47. • Are your applications free
from vulnerabilities like
RCE/SSRF/XXE etc.?
• Is the Serverless code secure
(e.g. free from "event
injections")?
Cloud security assessment: pentesting sensitive services
www.securing.biz

48. • Do you monitor sensitive
actions?
• Do you have defined incident
response procedure?
Cloud security assessment: verifying monitoring processes
www.securing.biz

49. Secure cloud is harder to achieve than insecure one.
www.securing.biz

50. Capital One breach
www.securing.biz
source: https://1.bp.blogspot.com/-00lofPRFBwY/XT_KIOvkGYI/AAAAAAAA0nI/XYsIUxAUsS0KK3raHUKCjgWQpmYWMl2VwCLcBGAs/s728-e100/capital-one-data-breach-hacking.jpg

51. CloudGoat: https://bit.ly/2TKxczt
CloudGoat walkthrough: https://bit.ly/2u4QYXO
Pacu: https://bit.ly/2SYJKyX
KrkAnalytica CTF: https://bit.ly/2ZFF9Gh
7-Step Guide to SecuRing your
AWS Kingdom: https://bit.ly/2EN7yAs
CloudMapper: https://bit.ly/2NV6zSY
Prowler: https://bit.ly/2kxy879
www.securing.biz
Extras

52. If so, contact me on:
pawel.rzepa@securing.pl
Do you have any questions?
Could you give me any feedback?