フルクラウド環境下でのペネトレーションテスト

フルクラウド環境下でのペネトレーションテスト

P-2 プロフィール安⾥悠⽮ @328__ 所属: GMOサイバーセキュリティ byイエラエ株式会社オフェンシブセキュリティ部ペネトレーションテスト課
業務領域: ペネトレーションテスト / レッドチーム Web脆弱性診断 / クラウドセキュリティ診断コミュニティ: PentestSecJP: コアメンバー JAWS-UG 沖縄コアメンバー資格: yuyaasato

P-3 今⽇話すこと・ペネトレーションテストの対象となる環境もオンプレミスだけでなくクラウドも含めて対象になることもあります。・オンプレミスとクラウドの両⽅を使う企業様は増加傾向にありますが、中には業務インフラ全てがクラウドにのみ存在する企業様も多数存在しています。・オンプレミスのActive Directoryを中⼼とした構成からクラウドIdPを中⼼とした業務インフラのテストをいくつか経験して感じたこととかをお話しします。

フルクラウド環境とは︖ 1

P-5 フルクラウド環境とは︖ ・社内ネットワークそのものがない (あるいは社内に情報資産と呼べるものがほとんどない) ・オンプレミスのActive Directory / VPN もない・Microsoft
EntraなどのクラウドベースのIdPを中⼼にした構成・エンドポイント端末の管理を含めて全てがSaaSを使⽤ "DUJWF%JSFDUPSZ 'JMF4FSWFS 8JLJ $IBU ϑϧΫϥ΢υ 440 4BB4"QQT .JDSPTPGU&OUSB .JDSPTPGU&OUSB ΦϯϓϨϛεࣾ಺ωοτϫʔΫ 440 4BB4"QQT

P-6 フルクラウド環境とオンプレ環境の違い・エンドポイント端末が同⼀ネットワークに存在しない・特権昇格で得られた情報が活⽤できないことが多い・例)Mimikatz/secretsdumpの結果を別の端末に使⽤する・キッティング⽤のローカルアカウントが無い・ゼロタッチプロビジョニングによるキッティングの最適化ペネトレーションテストの視点から⾒る環境の違い .JDSPTPGU&OUSB
0UIFS/FUXPSL PSHVTFS" TFDSFUTEVNQ "VUPQJMPUʜ /P-PDBM"DDPVOU 3%1 ❌ PSHVTFS# )PNF

エンドポイント端末からフルクラウド環境の攻撃経路 2

P-8 エンドポイント端末からフルクラウド環境の攻撃経路・Salesチームの端末を起点にAWSにある本番プロダクトへのDBへの侵⼊する例・メジャーどころのサービスを使ってるとだいたい似たような構成になる。シナリオベースのペネトレーションテストの⼀例 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT .JDSPTPGU&OUSB
%FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU

P-9 エンドポイント端末からフルクラウド環境の攻撃経路・クラウド環境を調査する上でやることは環境構成の把握 / 構成ミス調査 / Credential収集・使⽤の繰り返しシナリオベースのペネトレーションテストの⼀例・ファイル収集
・PRT(Primary Refresh Token)の悪⽤・ブラウザセッションのダンプ・User /Group / SSO Apps / 条件付きアクセスポリシーの収集・Dynamic Groupの条件設定ミスの調査・環境構成 / Credentialの収集・サービスのInvite Tokenの収集・Google Groupの参加権限設定ミス・ドキュメント情報の収集・ハードコードCredentialの収集・CI/CD Pipelineの悪⽤による Product Serviceへのアクセス確⽴ ※ 攻撃経路/⼿法は多数ありますが、かなり簡略化してます。 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT .JDSPTPGU&OUSB %FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU

・PRT(Primary Refresh Token)の悪⽤・ブラウザセッションのダンプ・User /Group / SSO Apps / 条件付きアクセスポリシーの収集・Dynamic Groupの条件設定ミスの調査・環境構成 / Credentialの収集・サービスのInvite Tokenの収集・Google Groupの参加権限設定ミス・ドキュメント情報の収集・ハードコードCredentialの収集・CI/CD Pipelineの悪⽤による Product Serviceへのアクセス確⽴ ※ 攻撃経路/⼿法は多数ありますが、かなり簡略化してます。 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT .JDSPTPGU&OUSB %FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU 参考: Azure AD参加端末におけるPRT (Primary Refresh Token)悪⽤のリスクと対策について - GMOイエラエブログ https://gmo-cybersecurity.com/blog/azuread-prt/ Microsoft Entra IDにデバイスを参加させると、 Office / Outlook、Edgeでのログインに使⽤できるSSOに使⽤する PRT(Primary Refesh Token)が発⾏され、端末に保管される。 Pass The PRT DLLを呼び出してPRTからlogin.microsoftonline.comで使⽤できる Cookieを作成して攻撃者の端末で使⽤することも可能。パスワードとMFAデバイスを攻撃者が所有せずとも Microsoft Entra IDと連携したアプリケーションにログインが可能。基本的にブラウザセッションのダンプとPass The PRTを⾏い、アクセス可能なクラウドサービスから情報を収集していく。

・PRT(Primary Refresh Token)の悪⽤・ブラウザセッションのダンプ・User /Group / SSO Apps / 条件付きアクセスポリシーの収集・Dynamic Groupの条件設定ミスの調査・環境構成 / Credentialの収集・サービスのInvite Tokenの収集・Google Groupの参加権限設定ミス・ドキュメント情報の収集・ハードコードCredentialの収集・CI/CD Pipelineの悪⽤による Product Serviceへのアクセス確⽴ ※ 攻撃経路/⼿法は多数ありますが、かなり簡略化してます。 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT .JDSPTPGU&OUSB %FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU 参考: AZURE AD GRAPH APIを介した条件付きアクセスポリシーの改ざん – Secureworks https://www.secureworks.jp/research/tampering-with-conditional-access-policies-using-azure-ad- graph-api 参考: Abusing dynamic groups in Azure AD for privilege escalation - mnemonic https://www.mnemonic.io/resources/blog/abusing-dynamic-groups-in-azure-ad-for-privilege- escalation/ User / Group / Device / 誰が管理者権限を持っているかをMicrosoft Graph APIなどで収集していく。 (ポータルの閲覧権限があれば画⾯から⾒ていく) 条件付きアクセスポリシーはAzure AD Graph APIなら管理者権限がなくても閲覧が可能。環境内からCredentialを取得した時に、MFAをbypassできる余地がないかを確認していく。 Dynamic Groupは、ゲストユーザの参加と組み合わせて特定のグループへ⾃動参加できる余地がないかを⾒ていく。

・PRT(Primary Refresh Token)の悪⽤・ブラウザセッションのダンプ・User /Group / SSO Apps / 条件付きアクセスポリシーの収集・Dynamic Groupの条件設定ミスの調査・環境構成 / Credentialの収集・サービスのInvite Tokenの収集・Google Groupの参加権限設定ミス・ドキュメント情報の収集・ハードコードCredentialの収集・CI/CD Pipelineの悪⽤による Product Serviceへのアクセス確⽴ ※ 攻撃経路/⼿法は多数ありますが、かなり簡略化してます。 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT .JDSPTPGU&OUSB %FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU 参考:グループメールの設定ミスによるAWSアカウントの乗っ取りと対策 - GMOイエラエ https://gmo-cybersecurity.com/blog/aws-account-hijacking-due-to-misconfiguration-of-group- mail/ ビジネス向け Google Groupの設定で、デフォルトでグループに⾃由に参加できるようになっている。グループに参加してメールの閲覧ができるので、クラウドアカウントのパスワードリセットを⾏うほか、紐づいたドキュメントにもアクセスできるようになる。

P-13 エンドポイント端末からフルクラウド環境の攻撃経路・クラウド環境を調査する上でやることは環境構成の把握 / 構成ミス調査 / Credential収集・使⽤の繰り返しシナリオベースのペネトレーションテストの⼀例・環境構成
/ Credentialの収集・サービスのInvite Tokenの収集・Google Groupの参加権限設定ミス・ドキュメント情報の収集・ハードコードCredentialの収集・CI/CD Pipelineの悪⽤による Product Serviceへのアクセス確⽴ ※ 攻撃経路/⼿法は多数ありますが、かなり簡略化してます。 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT .JDSPTPGU&OUSB %FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU 過去にコミットされたログからCredential探したり GitHub ActionやPipelineの構成不備 / Branch Protection Ruleの Bypass を悪⽤して本番環境のコードを汚染する。 manifest改ざんによるSecretsの取得。本番デプロイ⽤のアクセスキーが取得できれば本番環境へのアクセスに利⽤できる。

フルクラウド環境でのペネトレーションテストの課題 2

P-15 フルクラウド環境でのペネトレーションテストの課題・IDと権限の管理が綺麗に整理されていると、他のSaaSから情報は得られても本番環境へのアクセスパスが確⽴しない。・元々のスコープを考えると安全にも思えるが、このテストではAWSアカウントのIAMロールの設定状況とかは⾒えてない。 4BMFT6TFS" "MM6TFST 4BMFT(SPVQ %FW0QT(SPVQT
.JDSPTPGU&OUSB %FW0QT'VMM"DDFTT 4BMFT$SFBUF*TTVF $IBU5PPMT $PEF3FQPTJUPSZ $PMBCPMBUJPO5PPMT 1SPEVDU4FSWJDF %FNP 1SPEVDU4FSWJDF 1SPE "840SH.BTUFS"DDPVOU 設定ミスなし! ・Credentialなし! ・Workflowの不備もなし! ・Secret Scanも実装済み・CI・CD Pipelineの構成ミスなし・グループ設定の不備もなし! ・社内ドキュメントの権限管理も徹底されてる。・本番環境に到達できないので、 IAMロールの設定不備とかは⾒れてない。

P-16 フルクラウド環境でのペネトレーションテストの課題・シナリオベース / ブラックボックステストにこだわりすぎると時間かける割にあまり課題を探しきれない。・元々の起点となる端末の権限を使って⾒れるだけの評価になり、ブラックボックスでは情報収集に時間をかけすぎてしまったり、⾒れない設定等は多々ある。なので、本番環境へのアクセス経路があっても、
到達せずにテストが終了する場合もある。・顧客⽬線だと脆弱性や改善項⽬が⾒えず費⽤対効果が悪い。・テスターとしてもやれることはやったと胸をはって⾔いづらい。・解決策として、設定確認⽤の⾼権限アカウントもセットで⽤意いただいてテストをしていくほうが効率は良い。課題の検出件数ははるかに上がる。

P-17 フルクラウド環境でのペネトレーションテストの課題・テストの⽬的を達成する上で、環境での⼤きな構成ミスがなければ、社員を標的にしながらテストを進⾏していくことも検討する必要がある。・システムがセキュアだったとしても、組織全体としてセキュアかは別の話・不審なファイルを実⾏してしまうのもフィッシングサイトに情報を⼊⼒してしまうのも最終的には⼈・最終的には組織全体がセキュアに運⽤されて安定的に事業継続ができていることが望ましい。・内部侵⼊を前提としたテストをさらに進めていくのであれば、
内部情報を利⽤したスピアフィッシングを含めてよりリアルにやる。・検知/防御/セッションの再検証の必要性も⾒えてくるようになるが、ここまでやるのは⼈のケアも必要になってくる場合があるので、サービスを受ける側の覚悟もそれなりに必要。

P-18 さいごに・フルクラウド環境でペネトレーションテストについてお話ししました。・リスクの⾼い設定ミスを発⾒できれば、本番環境への攻撃経路は作れてシナリオベースのテストも機能はする。・逆に⽬⽴った設定ミスがなく、ID管理/設計が適切にされてるとプロダクトの侵⼊が困難になる。しかし、肝⼼のプロダクト側のインフラまで辿り着けなくて肝⼼のプロダクトのセキュリティ設定ミスまで発⾒できない可能性もある。・シナリオベースでやりすぎると課題を⾒つけられないこともあるので、
ケースに応じて設定確認⽤のアカウントをもらいながらテストを進めていくのも⼤事。

フルクラウド環境下でのペネトレーションテスト

フルクラウド環境下でのペネトレーションテスト

Yuya Asato

More Decks by Yuya Asato

Featured

Transcript

フルクラウド環境下でのペネトレーションテスト

P-2 プロフィール安⾥悠⽮ @328__ 所属: GMOサイバーセキュリティ byイエラエ株式会社オフェンシブセキュリティ部ペネトレーションテスト課

フルクラウド環境とは︖ 1

P-5 フルクラウド環境とは︖ ・社内ネットワークそのものがない (あるいは社内に情報資産と呼べるものがほとんどない) ・オンプレミスのActive Directory / VPN もない・Microsoft

エンドポイント端末からフルクラウド環境の攻撃経路 2

P-13 エンドポイント端末からフルクラウド環境の攻撃経路・クラウド環境を調査する上でやることは環境構成の把握 / 構成ミス調査 / Credential収集・使⽤の繰り返しシナリオベースのペネトレーションテストの⼀例・環境構成

フルクラウド環境でのペネトレーションテストの課題 2

END