ハニートークン型ハニーポットによる攻撃者の行動分析と脆弱性の発見と報告まで / AWS HoneyToken HoneyPot

ハニートークン型ハニーポットによる攻撃者の行動分析と脆弱性の発見と報告まで～AdministratorAccessポリシー付きアクセスキーを手にした攻撃者がとる行動とは～ 2 0 2 1 年
3 月 2 0 日 J A W S D AY S 2 0 2 1

お話ししたいことを書いたらスライドが100ページを超えてしまいました。あとでスライド公開しますので、サクサク進めさせて頂きます。ご連絡

#jawsdays #jawsdays2021 #jawsdays2021_B 3 自己紹介 Kohei Isono（磯野亘平） • 日本電気株式会社（NEC）にて、セキュア開発
推進、脆弱性診断・ペネトレーションテスト、インシデントレスポンス対応などに従事（今回の発表は個人の活動です） • ハニーポットの構築・運用とCTFが趣味 https://graneed.hatenablog.com/ @graneed111

#jawsdays #jawsdays2021 #jawsdays2021_B 4 今日お伝えしたいことアクセスキーの管理を徹底しようインシデントの発生に備えよう脆弱性レポートを
出そう

#jawsdays #jawsdays2021 #jawsdays2021_B 5 目次１．はじめに２．ハニーポットの構築３．漏洩シナリオ４．攻撃者の行動分析５．インシデントレスポンス
６．脆弱性レポート７．最後に

自身でハニーポット環境の構築および運用をする際は、環境を理解の上、十分なセキュリティ対策を実施してください。注意

#jawsdays #jawsdays2021 #jawsdays2021_B 8 アクセスキーとは • AWS CLI等のツールやプログラムから AWSのサービスへのアクセスに使用 •
IAMユーザーまたはAWSアカウントのルートユーザーの長期的な認証情報 • アクセスキーIDとシークレットアクセスキーから構成アクセスキーツール AWS サービス

#jawsdays #jawsdays2021 #jawsdays2021_B 9 •アクセスキーを使用していますか？ •どのような権限を付与していますか？ •どのような管理をしていますか？ホワイトペーパーやベストプラクティスを見てみましょう

#jawsdays #jawsdays2021 #jawsdays2021_B 10 AWS Well-Architected フレームワークセキュリティ検出アイデンティティ管理
とアクセス管理セキュリティの基礎インフラストラクチャ保護データ保護インシデント対応オペレーショナルエクセレンス信頼性パフォーマンス効率コスト最適化 5本の柱 SEC 2 人とマシンの認証の管理はどのようにすればよいですか? SEC 3 人とマシンのアクセス許可はどのように管理すればよいでしょうか? 一時的な認証情報を使用する定期的に認証情報を監査およびローテーションする最小権限のアクセスを付与するアクセス許可を継続的に削減するベストプラクティス AWS Well-Architected フレームワーク - アイデンティティ管理とアクセス管理 https://docs.aws.amazon.com/ja_jp/wellarchitected/latest/framework/a-identity-and-access-management.html

#jawsdays #jawsdays2021 #jawsdays2021_B 11 IAMのセキュリティのベストプラクティス •AWS アカウントのルートユーザーアクセスキーをロックする •最小限の特権を認める
•アクセスキーを共有しない •認証情報を定期的にローテーションする •不要な認証情報の削除 IAM でのセキュリティのベストプラクティス https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/best-practices.html

#jawsdays #jawsdays2021 #jawsdays2021_B 12 AWSアクセスキーを管理するためのベストプラクティス •アカウントアクセスキーを削除する (または生成しない) •長期のアクセスキーの代わりに一時的なセキュリティ認証情報(IAMロール)を使用する
•IAMユーザーのアクセスキーを適切に管理する AWS アクセスキーを管理するためのベストプラクティス https://docs.aws.amazon.com/ja_jp/general/latest/gr/aws-access-keys-best-practices.html

#jawsdays #jawsdays2021 #jawsdays2021_B 13 CIS AWS Foundations Benchmark 2. Storage
1. Identity and Access Management 3. Logging 4. Monitoring 5. Networking 1.4. Ensure no root user account access key exists 1.11. Do not setup access keys during initial user setup for all IAM users that have a console password 1.13. Ensure there is only one active access key available for any single IAM user 1.14. Ensure access keys are rotated every 90 days or less

#jawsdays #jawsdays2021 #jawsdays2021_B 14 守るには・守ってもらうには • ホワイトペーパーやベストプラクティスで言われていることは確かに重要 •
ただ、忙しい開発現場に必要性を理解してもらい、腹落ち（納得）した上で対応してもうらためには？

#jawsdays #jawsdays2021 #jawsdays2021_B 15 守るには・守ってもらうには • ドキュメントの受け売りだけでは説明不足 • 自分で攻撃を受けてみるの
はどうだろうか • 生の攻撃者の攻撃手法も観測できると面白そうだ

#jawsdays #jawsdays2021 #jawsdays2021_B 17 ハニーポットとは • 一言で言うと「おとりのシステム」 • 攻撃者を誘い込み、攻撃手法や侵入後の動作を収集する

#jawsdays #jawsdays2021 #jawsdays2021_B 18 ハニーポットの分類ハニーポット攻撃経路サーバクライアントハニー
トークン高対話ハイブリッド低対話インタラクションインタラクション検知精度情報収集偽装性スケーラビリティ安全性低対話型低低低高高高対話型高高高低低コロナ社「実践サイバーセキュリティモニタリング」より

#jawsdays #jawsdays2021 #jawsdays2021_B 19 ハニーポットの分類ハニーポット攻撃経路サーバクライアントハニー
トークン高対話ハイブリッド低対話インタラクションインタラクション検知精度情報収集偽装性スケーラビリティ安全性低対話型低低低高高高対話型高高高低低コロナ社「実践サイバーセキュリティモニタリング」より今回、採用した方式

#jawsdays #jawsdays2021 #jawsdays2021_B 20 ハニーポットのシステム要件と実現方法痕跡を保存できること攻撃者を誘い込めること安全であること CloudTrailで証跡ログ保存
Administrator Accessポリシー付きのアクセスキーを提供 SCPを使用した AWSアカウントの権限制御攻撃を分析できること Athenaを使用した CloudTrailの証跡ログ分析

#jawsdays #jawsdays2021 #jawsdays2021_B 22 アクセスキーを提供 • 複数の方法でアクセスキーを公開し、攻撃者に提供 • 攻撃者は、アクセスキーで
AWS環境に侵入し、何らかの行動を実施するはず • その行動を観察する AWS サービス ②アクセスキーで侵入、目的行動攻撃者ハニーポッター ①アクセスキーを公開 ③行動内容を観察

#jawsdays #jawsdays2021 #jawsdays2021_B 23 Administrator Accessポリシー • IAMのAWS管理ポリシー • 全てのAWSのサービスを
利用可能な最強の権限

#jawsdays #jawsdays2021 #jawsdays2021_B 24 Administrator Accessポリシー • 攻撃者は、入手したアクセスキーにこのポリシーがアタッチされていたら、勝ち確と思って目的の行
動を始めるはず • しかし、本当に被害を被る・・・

#jawsdays #jawsdays2021 #jawsdays2021_B 26 AWS Organizations • 複数のAWSアカウントを統合するためのアカウント管理サービス •
Service Control Policy(SCP)で、 AWSアカウント単位で権限制御が可能 • ほか、組織内のAWSアカウントの料金の一括請求、マネージドサービスの統合管理も可能

#jawsdays #jawsdays2021 #jawsdays2021_B 27 W-Aフレームワークでも推奨 SEC 1: ワークロードを安全に運用するには、どうすればよいですか? https://wa.aws.amazon.com/wat.question.SEC_1.ja.html

#jawsdays #jawsdays2021 #jawsdays2021_B 28 マルチアカウントの構成例 • 例えば、以下の切り口でAWSアカウントを作成 –Aシステム用、Bシステム用アカウント –開発環境用、本番環境用アカウント –共通アカウント
• 監視・監査用アカウント • ログ保全用アカウント • 共通サービス用アカウント

#jawsdays #jawsdays2021 #jawsdays2021_B 29 マルチアカウントの構成例 SID331_Architecting Security and Governance Across
a Multi-Account Strategy https://www.slideshare.net/AmazonWebServices/sid331architecting-security-and-governance-across-a-multiaccount-strategy

#jawsdays #jawsdays2021 #jawsdays2021_B 30 JAWSDAYS2021でも • 本セッションと並行してマルチアカウントをテーマにしたセッションが！（あとで見ます）

#jawsdays #jawsdays2021 #jawsdays2021_B 31 Service Control Policy 【AWS Black Belt
Online Seminar】AWS Organizations https://d1.awsstatic.com/webinars/jp/pdf/services/20180214_AWS-Blackbelt-Organizations.pdf

#jawsdays #jawsdays2021 #jawsdays2021_B 32 SCPを使うと • ハニーポット用のAWSアカウントを AWS Organizationsのメンバーアカウントにし、マスターアカウントか
らSCPで権限制限すれば、 AdministratorAccessポリシーがアタッチされていてもサービスを利用できない状態にメンバーアカウント AdministratorAccess ポリシー SCPで権限がなければサービス利用不可マスタ―アカウント Organizations SCPで権限を制限 AWS サービス

#jawsdays #jawsdays2021 #jawsdays2021_B 33 つまり？ • AdministratorAccessをゲットしてウッキウキな攻撃者に攻撃を空撃ちさせ、安全に観察できる •
メンバーアカウント内の攻撃者の行動は、すべてマスターアカウントの掌の上！

#jawsdays #jawsdays2021 #jawsdays2021_B 34 SCPの設定 • ReadOnlyAccess同等権限をアタッチ • 加えて、攻撃者は初手でIAMで権限確認や変更をしようとするため、他サービスの書き込み権限さえなければIAMを触れ
ても問題ないと判断しIAMFullAccess同等権限もアタッチ

#jawsdays #jawsdays2021 #jawsdays2021_B 35 SCPの上限サイズ • SCPにはAWS管理ポリシーがない (FullAWSAccessだけ) • よって、IAMのReadOnlyAccessポリ
シーの定義をコピーして作成 • ただ、SCPのサイズには上限サイズ(5120バイト)があり、 ReadOnlyAccessポリシーが収まらない • 苦肉の策だが、上限サイズに合わせて分割作成

#jawsdays #jawsdays2021 #jawsdays2021_B 37 • ユーザー、ロール、または AWS のサービスによって実行されたアクションを記録してくれるサービス
• 本ハニーポットの分析の要 • AWS Organizationsを使用していると、全アカウントのCloudTrailを一括で有効化できるので便利 CloudTrail

#jawsdays #jawsdays2021 #jawsdays2021_B 38 • CloudTrailからCloudWatchLogsに連携 • Slack通知する関数をLambdaで作成し、 CloudWatchLogsのサブスクリプションフィルタから呼び出すよう設定
• ただ、一度侵入されると、すぐに通知が100件以上溜まるため、適宜、通知条件をカスタマイズ CloudTrailとSlack連携

#jawsdays #jawsdays2021 #jawsdays2021_B 39 GuardDuty • マネージドの脅威検出サービス • 料金も激安なので、お守り的に有効化しておくことが推奨されている。
• CloudWatchEventをトリガーに Lambdaを呼び出してSlack通知

#jawsdays #jawsdays2021 #jawsdays2021_B 41 Athenaで分析 • Athenaとは、S3内のデータをSQLを使用して簡単に分析できるサービス • CloudTrailの証跡ログを検索する
テーブルを作成 • SQLの実行結果をCSV形式で出力できるので、細かい分析はExcelで

#jawsdays #jawsdays2021 #jawsdays2021_B 42 システム構成図

#jawsdays #jawsdays2021 #jawsdays2021_B 43 システム構成図 Administrator Accessポリシー付きのアクセスキーを提供 SCPを使用した AWSアカウントの権限制御
CloudTrailで証跡ログ保存 Athenaを使用した CloudTrailの証跡ログ分析

#jawsdays #jawsdays2021 #jawsdays2021_B 45 アクセスキーの漏洩シナリオ ①インターネット上のサービスにアクセスキーを公開 ②AMI（Amazonマシンイメージ）にアクセスキーを残したまま公開 ④トップページにアクセスキーを公開
③インスタンスメタデータを公開

#jawsdays #jawsdays2021 #jawsdays2021_B 47 インターネット上のサービスにアクセスキーを公開 • テキストデータを保存し公開するサービスである Pastebinに公開

#jawsdays #jawsdays2021 #jawsdays2021_B 48 インターネット上のサービスにアクセスキーを公開 • Pastebinでキーワードで検索すると、他者のアクセスキーがHIT・・・ •
なお、2020年3月に検索機能は廃止となった

#jawsdays #jawsdays2021 #jawsdays2021_B 49 githubへの公開は？ • githubにアクセスキーを誤って登録してしまう事例は多い • ただ、AWS社でも監視しており、
すぐに通知および対策指示を受ける可能性が高いため、公開は見送った • なお、対策しないと、リソースのブロックやAWSアカウントの停止される可能性がある AWS からリソースに関する不正使用の報告を受け取った場合、どうすればよいですか? https://aws.amazon.com/jp/premiumsupport/knowledge-center/aws-abuse-report/

#jawsdays #jawsdays2021 #jawsdays2021_B 50 被害者の声 https://toranoana-lab.hatenablog.com/entry/2018/09/06/204717 https://yoya.hatenadiary.jp/entry/20150404/aws https://mwookpark.blogspot.com/2018/01/aws-20171227.html https://qiita.com/mochizukikotaro/items/a0e98ff0063a77e7b694 https://qiita.com/AkiyoshiOkano/items/72002409e3be9215ae7e

#jawsdays #jawsdays2021 #jawsdays2021_B 52 AMIとは • AMIとは、EC2インスタンスを作成するためのテンプレート • 例えば、AutoScaling構成で動的に
インスタンス追加する際に使用 • AMIはパブリック公開可能

#jawsdays #jawsdays2021 #jawsdays2021_B 53 パブリックAMIの公開 • インスタンス内に認証情報を残した状態でAMIを作成すると、イメージ内に認証情報が残る •
そのAMIをパブリックに共有する • セキュリティのベストプラクティスでも注意されている AWS セキュリティのベストプラクティス https://d1.awsstatic.com/International/ja_JP/Whitepapers/AWS_Security_Best_Practices.pdf

#jawsdays #jawsdays2021 #jawsdays2021_B 54 パブリックAMIの公開

#jawsdays #jawsdays2021 #jawsdays2021_B 56 インスタンスメタデータサービス • EC2インスタンスのホスト名、セキュリティグループ、 IAMロールなど各種情報を取得できるサービス
• EC2インスタンス自体からのみアクセス可能 $ curl http://169.254.169.254/latest/meta-data/ ami-id ami-launch-index ami-manifest-path block-device-mapping/ events/ hostname iam/ (省略) $ curl http://169.254.169.254/latest/meta-data/hostname ip-172-31-6-71.ap-northeast-1.compute.internal $ curl http://169.254.169.254/latest/meta-data/instance-type t3.nano EC2インスタンスからcurlコマンドでアクセスした例

#jawsdays #jawsdays2021 #jawsdays2021_B 57 インスタンスメタデータサービス • インスタンスメタデータから、EC2インスタンスにアタッチされているIAMロールの一時的な認証情報の取得
も可能 • MITREのATT＆CKでも、攻撃手法として定義されている $ curl http://169.254.169.254/latest/meta- data/iam/security-credentials/lab-dev-c2-role { "Code" : "Success", "LastUpdated" : "2021-03-15T18:24:53Z", "Type" : "AWS-HMAC", "AccessKeyId" : "ASIARMMTII225WBXGDO7", “SecretAccessKey” : “FqklOiT4PyPCM4oAnfw+~省略~", “Token” : “IQoJb3JpZ2luX2VjEMr//////////wEaDmFwLW5vcnRoZWFzd C0xIkYwRAIgdJhJCRm6Egmywm2K8DAH5VfIQVciB6uJX1Z3 m5YnI90CIFs5FRHR1~省略~ "Expiration" : "2021-03-16T00:28:58Z" } EC2インスタンスからcurlコマンドでアクセスした例 Unsecured Credentials: Cloud Instance Metadata API https://attack.mitre.org/techniques/T1552/005/

#jawsdays #jawsdays2021 #jawsdays2021_B 58 インスタンスメタデータを公開 • http://IPアドレス/latest/へのアクセスを、直接、インスタンスメタデータサービスへのアクセスに転送する。外部からのHTTPアクセス結果

#jawsdays #jawsdays2021 #jawsdays2021_B 60 トップページにアクセスキー公開 • Webサーバのindexページにアクセスキーを公開 • 現実世界では到底あり得ないシナリオ •
ブービートラップ外部からのHTTPアクセス結果

#jawsdays #jawsdays2021 #jawsdays2021_B 61 システム構成図 ①インターネット上のサービスにアクセスキーを公開 ②AMIにアクセスキーを残したまま公開 ③インスタンスメタデータを公開
④トップページにアクセスキーを公開

#jawsdays #jawsdays2021 #jawsdays2021_B 63 サマリ • ②パブリックAMIに公開したアクセスキーと③インスタンスメタデータの利用は無し • 攻撃者ごとに行動に特徴があり、自動ツールだけでない人間の息づかいを感じる攻撃者
侵入経路主な行動 A ④トップページにアクセスキーを公開・IAM、EC2、RDSの情報収集程度 B ④トップページにアクセスキーを公開・IAM、S3、Route53の情報収集程度 C ①インターネット上のサービスにアクセスキーを公開・S3のListBuckets(バケット一覧の確認)のみ D ④トップページにアクセスキーを公開・短時間に大量の読み取りAPIコール E ①インターネット上のサービスにアクセスキーを公開・SESサービスの確認 F ④トップページにアクセスキーを公開・m5ad.12xlargeのEC2インスタンス作成 G ④トップページにアクセスキーを公開・大量のAPIコール H ①インターネット上のサービスにアクセスキーを公開・LightsailのDownloadDefaultKeyPairをコール・IAMユーザーのログインプロファイル作成・PutUserPermissionsBoundaryで権限を制限 I ①インターネット上のサービスにアクセスキーを公開・新規IAMユーザー作成、ログインプロファイルの更新・S3の新規バケット作成、Organizationsからの脱退、EC2インスタンスの削除

#jawsdays #jawsdays2021 #jawsdays2021_B 64 攻撃者A～C • IAM、EC2、RDS、S3などの主要なサービスの情報収集をするだけ • 特に新鮮味のない退屈な行動

#jawsdays #jawsdays2021 #jawsdays2021_B 65 攻撃者D • 14分間で、98サービスを対象に537 種類のAPIコール • API名がDescribe、Get、Listから始
まる読み取り用APIのみを呼んでおり、情報収集に特化 • 少し不気味

#jawsdays #jawsdays2021 #jawsdays2021_B 66 攻撃者E • Simple Email Service(SES)が、過去24時間に送信したメールの送信数や、
送信可能なメールの最大数を取得する APIをコール • それも6つのリージョンに1回ずつ • レピュテーションの高いEメールアドレスの有無確認や、該当AWSアカウントの利用企業の特定をしようとしていた可能性

#jawsdays #jawsdays2021 #jawsdays2021_B 67 攻撃者F • EC2インスタンスの作成、セキュリティグループにSSHポートの穴あけを要求 • インスタンスタイプはm5ad.12xlarge（5.424USD/時間）
• UserAgentが「AWSToolkitPackage.VS2015～」なのが特徴的

#jawsdays #jawsdays2021 #jawsdays2021_B 68 AWS Toolkit for Visual Studio AWS
Toolkit for Visual Studio Demo https://www.youtube.com/watch?v=B190tcu1ERk

#jawsdays #jawsdays2021 #jawsdays2021_B 69 攻撃者G • 「aws-sdk-go/1.4.10 (go1.7.4; linux; amd64)」のUserAgentか
ら大量のAPIコール • AWS用セキュリティテストツール「pacu」を使用している可能性が高い

#jawsdays #jawsdays2021 #jawsdays2021_B 70 Pacuの説明とデモは JAWS DAYS 2019のセッション参照 PenTesterが知っている危ないAWS環境の共通点 https://www.slideshare.net/zaki4649/pentesteraws

#jawsdays #jawsdays2021 #jawsdays2021_B 71 攻撃者H • Permissions Boundaryを設定し、なぜか自らの権限をEC2のみに制限。 Service
Quotasも確認していた。 • EC2に対する操作が失敗する理由に悩み、試行錯誤していたと推察 • ほか、Lightsailサービスの DownloadDefaultKeyPairをコール

#jawsdays #jawsdays2021 #jawsdays2021_B 72 Lightsail • 手軽にアプリケーションやウェブサイトの構築ができる VPSサービス •
自動的にネットワーキング、アクセス、およびセキュリティ環境を設定

#jawsdays #jawsdays2021 #jawsdays2021_B 73 DownloadDefaultKeyPair • Lightsailで構築したサーバに、 SSHでログインするためのキーをダウンロードするAPI • このAPI名で調べてみると以下の記事がHIT。
ReadOnlyでも、AWS Lightsailは完全にReadOnlyではない https://www.ryuzoji.com/archives/1166

#jawsdays #jawsdays2021 #jawsdays2021_B 74 Download DefaultKeyPair • ReadOnlyAccessポリシーのVersion47までは、Download*の権限が付与 •
2019-04-03 04:07更新の Version48で、権限が外された • つまり、以前はReadOnlyAccessの権限があれば、サーバにログインできた • もしReadOnlyAccessをコピーしてカスタムのポリシーを作っている場合は、この問題が残存している可能性がある Version 48 Version 47

#jawsdays #jawsdays2021 #jawsdays2021_B 75 攻撃者I • 2週間ほど日次アクセスする粘着さ • 新規IAMユーザー作成、ログインプロファイル更新してパスワード変更など、
やりたい放題 • ほか、S3バケット作成、EC2インスタンスの削除、Organizationsからの脱退などを試みていたようだが、 SCPでブロック余裕でした

#jawsdays #jawsdays2021 #jawsdays2021_B 77 SCPが完全にはいったのに・・・ • SCPの設定を見直すが、EC2の書き込みアクションは許可していない • CloudTrailの証跡ログを確認すると、
RunInstancesをコールしてEC2インスタンスを作成したIPアドレスとUserAgentが、 spotfleet.amazonaws.com • そして、RunInstancesのコールの直前で、攻撃者によるRequestSpotFleetのコール

#jawsdays #jawsdays2021 #jawsdays2021_B 78 スポットインスタンス／スポットフリート • スポットインスタンスは、使用されていないEC2キャパシティを利用して、割安でインスタンスを立てられるサービス
• スポットフリートは、入札制で、入札価格が現在のスポット価格を上回っていると、スポットインスタンスとしてEC2インスタンスを起動できる • RequestSpotFleetは入札するAPI

#jawsdays #jawsdays2021 #jawsdays2021_B 79 RequestSpotFleetは PassRoleに依存 • RequestSpotFleetのコールは、 EC2の権限がなくても、IAMの「PassRole」の権限があれば呼べる
ことが判明 • PassRoleは、AWSのサービスにロールをアタッチできる権限 • RunInstancesのコールによるインスタンス起動はEC2サービスから実行 EC2サービス (スポットフリート) RequestSpotFleetをコールして入札 iam:PassRole権限ありの IAMユーザ RunInstancesをコールして EC2インスタンス起動 (UAはspotfleet.amazonaws.com) EC2インスタンス

#jawsdays #jawsdays2021 #jawsdays2021_B 80 原因の考察 • SCPでアカウントにEC2インスタンスの作成権限を与えていなくても、AWSのEC2サービスからは作成できたようだ
• SCPで、IAMFullAccessを許可していたため、iam:PassRoleの権限も与えていたメンバーアカウント PassRoleがあれば RequestSpotFleetは可能 iam:PassRole権限ありの IAMユーザ(アクセスキー) SCPの制限にかからず RunInstancesが可能 SCPの制限により RunInstances不可マスタ―アカウント EC2サービス (スポットフリート) EC2インスタンス Organizations SCPで ReadOnlyAccessと IAMFullAccessのみ許可

#jawsdays #jawsdays2021 #jawsdays2021_B 81 【再掲】SCPの設定 • ReadOnlyAccess同等権限をアタッチ • 加えて、攻撃者は初手でIAMで権限確認や変更をしようとするため、他サービスの書き込み権限さえなければIAMを触れ
ても問題ないと判断しIAMFullAccess同等権限もアタッチこの判断が良くなかった

#jawsdays #jawsdays2021 #jawsdays2021_B 82 実験 • ReadOnlyAccessとiam:PassRoleが許可されていれば、 EC2インスタンスを作成できることを確認

#jawsdays #jawsdays2021 #jawsdays2021_B 83 攻撃への利用方法 • スポットフリートの入札時に、 AMI、VPC、サブネット、セキュリティグループの指定が可能 •
任意のプログラムを自動実行させるパブリックAMIを用意しておくことで、以下のようなことが可能 –高性能なインスタンスを起動してマイニング –C2サーバにリバースシェルを張ってVPC内に侵入

突然の国際電話

突然のメール

#jawsdays #jawsdays2021 #jawsdays2021_B 87 AWSサポートの暫定措置 • IAMポリシー「AWSExposedCredentialPolicy_DO_N OT_REMOVE」を作成し、漏洩したアク
セスキーに紐づくIAMユーザにアタッチ • 拒否アクションが列挙された IAMポリシー { "Version": "2012-10-17", "Statement": [ { "Sid": "Stmt1538161409", "Effect": "Deny", "Action": [ "iam:UpdateUser", "iam:AttachUserPolicy", "lightsail:GetInstanceAccessDetails", "organizations:InviteAccountToOrganization", "iam:AttachRolePolicy", "ec2:StartInstances", "lightsail:Delete*", "iam:CreateInstanceProfile", "iam:UpdateAccessKey", "iam:PutUserPolicy", "iam:DeleteUserPolicy", "iam:AttachGroupPolicy", "lambda:CreateFunction", "iam:CreateLoginProfile", "lightsail:Start*", "iam:CreateUser", "ec2:RunInstances", "lightsail:Create*", "lightsail:Update*", "iam:PutUserPermissionsBoundary", "iam:ChangePassword", "iam:DetachUserPolicy", "organizations:CreateAccount", "iam:PutGroupPolicy", "organizations:CreateOrganization", "iam:UpdateAccountPasswordPolicy", "iam:CreateAccessKey", "iam:CreateRole", "lightsail:DownloadDefaultKeyPair", "ec2:RequestSpotInstances" ], "Resource": [ "*" ] } ] }

#jawsdays #jawsdays2021 #jawsdays2021_B 88 利用者側で必要な措置 ① ルートユーザーのパスワード変更 ② 全てのアクセスキーのローテーション ③
漏洩したアクセスキーに紐づくIAMユーザの削除 ④ 全てのリージョンのリソースをチェック ①～③が完了するまでサポートから対応状況を催促される一定期間内に対応しないとアカウント凍結されるようだ

#jawsdays #jawsdays2021 #jawsdays2021_B 89 AWSCompromisedKeyQuarantine • 2020/8/12にAWS管理ポリシー「 AWSCompromisedKeyQuarantine 」
が追加された。 • 今は、このポリシーが、侵害された IAMユーザにアタッチされる。

#jawsdays #jawsdays2021 #jawsdays2021_B 91 疑問 • EC2の権限がなくても、スポットフリートを入札できるのは正しいのだろうか？

#jawsdays #jawsdays2021 #jawsdays2021_B 92 脆弱性レポート https://aws.amazon.com/jp/security/vulnerability-reporting/

#jawsdays #jawsdays2021 #jawsdays2021_B 93 報告してみた

#jawsdays #jawsdays2021 #jawsdays2021_B 94 報告してみた

#jawsdays #jawsdays2021 #jawsdays2021_B 95 タイムライン（1/3）これ問題あると思うんだけど、どう？手順も送るよ。ありがとう、受け付けしたよ調査しているよ。5営業日以内にフォローアップするよ詳細は教えられないけど対応する予定だよ、報告ありがとね了解、対応完了したら教えてくれる？
あとこの内容、コミュニティで共有しても良い？問題ないよ。ただ、公開前に内容教えてくれる？了解、できたら送るよ 2020/3/9 2020/3/16 2020/3/19 2020/3/20

#jawsdays #jawsdays2021 #jawsdays2021_B 96 タイムライン（2/3）インスタンスまだ起動してる？再現手順送ってくれない？インスタンスはもう消しちゃった。手順は最初のレポートで送ったけど、もう1回送るよもちろん。ところで、この問題っていつ直るの？ 2020/4/13
ありがとう、現在も調査しているよ。5営業日以内に連絡するよドラフト版ありがとうまた何か気付いたことあったら報告してねドラフト版でも共有してくれない？ドラフト版の資料送るよ(このスライドの前半部分) 2020/4/17 2020/4/7 2020/4/4

#jawsdays #jawsdays2021 #jawsdays2021_B 97 タイムライン（3/3） • いつの間にか直っていた 2020/5/23

#jawsdays #jawsdays2021 #jawsdays2021_B 98 報告後、Amazonがバグバウンティプログラム開始

#jawsdays #jawsdays2021 #jawsdays2021_B 99 認可バイパス最大$2,500

#jawsdays #jawsdays2021 #jawsdays2021_B 100 と思ったらAWSは対象外よかった。報奨金を逃した人なんていなかったんだね・・・・

#jawsdays #jawsdays2021 #jawsdays2021_B 102 まとめアクセスキーの管理を徹底しようインシデントの発生に備えよう脆弱性レポートを
出そう・万が一、漏洩したら即座に使用される。・使用しないなら、そもそも発行しない。・可能であればMFAを設定する。・最小権限の付与も。・CloudTrailは全アカウント、全リージョン必須。・ログを分析する手順やツールを予め準備する。・リソース監視も大事。・AWS管理の機能にも抜け道や穴はありうる。・お客様のため、自社のため、自分のため、 AWSを使用しているみんなのため。

ハニートークン型ハニーポットによる攻撃者の行動分析と脆弱性の発見と報告まで / AWS HoneyToken HoneyPot

ハニートークン型ハニーポットによる攻撃者の行動分析と脆弱性の発見と報告まで / AWS HoneyToken HoneyPot

More Decks by graneed

Other Decks in Technology

Featured

Transcript