雲中的暗雷: 那些雲端環境中常見的資安問題

ModernWeb'21 雲中的暗雷: 那些雲端環境中常見的資安問題

Transcript

1. Keniver 王凱慶 中華資安國際 資深資安工程師 雲中的暗雷 那些雲端環境中常見的資 安問題
2. Outline 常見的資安風險 雲端的攻擊手法 雲端的資安迷思
3. Outline 常見的資安風險 雲端的攻擊手法 雲端的資安迷思
4. 為什麼選擇上雲 • 實現靈活的資源應用 • 降低行業入門門檻 • 專注於業務發展 • 雲端環境很安全
5. 迷思 1: 雲服務商會保護我
6. 雲端如何分擔責任 共同責任模型 資料 使用者 使用者 使用者 使用者 應用 使用者 使用者 使用者 雲端 作業系統 使用者 使用者 雲端 雲端 虛擬化 使用者 雲端 雲端 雲端 基礎設施 使用者 雲端 雲端 雲端 實體設備 使用者 雲端 雲端 雲端 傳統 IaaS PaaS SaaS
7. 雲端如何分擔責任 • 使用者永遠保有下列責任 • 資料 • 存取管理 • 帳戶 • 端點
8. 迷思 2: 雲端只是機房的電腦
9. 雲端架構 想像中的 實際上的 基礎設施 使用者 基礎設施 使用者
10. 概念上的差異 • IP 的概念 • 權限管理的方式 • 網路流量管理概念
11. 迷思 3: 使用雲端攻擊者就不會找上門
12. 資料在哪，攻擊者就在哪 • 資料的價值吸引攻擊者的注意 • 雲端環境的差異不構成攻擊的門檻 • 全球可存取的特性，增加攻擊面
13. 雲端最大的威脅 • 設定錯誤 (Misconfiguration)
14. Outline 常見的資安風險 雲端的攻擊手法 雲端的資安迷思
15. 錯誤 1: 儲存桶設定
16. 儲存桶 • 用於儲存資料的 SaaS 服務 • 提供各種儲存策略 • 高可用性 • 全球可存取 • 無限容量
17. 儲存桶 • 對於權限的誤會 • 要給別人存取所以設定公開 • 誤以為「經過身份驗證的使用者」是指組織內使用者 • 過於寬鬆的限制 • 直接給予 s3:* 的存取權
18. 錯誤 2: 權限管理
19. 直接使用高權限帳戶 • 直接使用 Root User 進行所有操作 • CLI 直接使用 Root Access Token • 不小心把 Access Token 上傳到 git
20. 過於鬆散的權限 • 資源限制直接給 arn:aws:s3:::*/* • 給予不當的操作權限或者直接全給 • 把 AdministratorAccess 掛給服務角色
21. 錯誤 3: 不足的監控與日誌紀錄
22. 不足的監控與日誌紀錄 • 沒有開啟日誌服務 • 沒有定期審視日誌紀錄
23. Outline 常見的資安風險 雲端的攻擊手法 雲端的資安迷思
24. 第1招: 暴力破解儲存桶
25. 列舉可能的儲存桶名稱 • https://hlh-s3-product.s3.amazonaws.com/ • 推測存在 hlh-s3-test 開放檔案清單的儲存桶
26. 列舉可能的檔案名稱 • https://hlh-s3-product.s3.amazonaws.com/[可能存在的檔案] • Backup.zip • User.txt • Access.log • …
27. 第2招: SSRF 竊取 Token
28. Server-Side Request Forgery (SSRF) • 攻擊者透過偽造請求使服務主機存取非預期的對象。 • 通常用於存取內部服務 Private Network Hacker 外部網站 惡意請求 正常請求 存取到敏感服務
29. Server-Side Request Forgery (SSRF) • 雲端服務內建 API - Metadata Service • http://169.254.169.254/latest/meta-data/iam/security-credentials/ • 讓主機可以自動初始化 • 讓 SDK 可以使用設定好的角色直接存取服務
30. Server-Side Request Forgery (SSRF) security-credentials 的內容
31. 第3招: IAM 提權
32. 可用來提權的 IAM 操作 重要權限 iam:CreatePolicyVersion iam:SetDefaultPolicyVersion iam:PassRole iam:CreateAccessKey iam:CreateLoginProfile iam:UpdateLoginProfile iam:AttachUserPolicy iam:AttachGroupPolicy iam:AddUserToGroup iam:UpdateAssumeRolePolicy 延伸權限 ec2:RunInstances sts:AssumeRole lambda:CreateFunction lambda:InvokeFunction lambda:CreateFunction lambda:AddPermission lambda:UpdateFunctionCode glue:CreateDevEndpoint glue:UpdateDevEndpoint
33. 建議 • 深入了解並正確的設定權限 • 熟記自己在雲端的責任 • 對於設定要進行「驗證」
34. Thank you. Keniver 王凱慶 中華資安國際 資深資安工程師
35. 補充 • 安全設定缺陷 • OWASP Top 10 2021 A05 (2017 為 A06) • https://owasp.org/Top10/A05_2021-Security_Misconfiguration/ • 伺服端請求偽造 (SSRF) 登上了 OWASP Top 10 2021 • 首次上榜 • https://owasp.org/Top10/A10_2021-Server- Side_Request_Forgery_%28SSRF%29/ • AWS 暫時性安全登入資料 (STS) • https://sts.amazonaws.com