SCARLETEEL：利用Terraform、Kubernetes和AWS窃取数据
💡
原文中文，约4600字，阅读约需11分钟。
📝
内容提要
Sophos安全公司报告显示，2022年云上网络攻击增加了56%。本文解读了一起云上攻击活动，攻击者利用容器化的工作负载获得初始访问权限，通过权限提升和横向移动，扩大影响至客户的AWS账户。攻击者利用元数据服务获取临时凭证权限，窃取专利数据，遍历存储桶寻找敏感数据。文章指出，网络安全是一项复杂的系统工程，每个环节都应做到最佳防护，尤其是最小权限原则和威胁检测机制。若能遵循最小化原则并定期进行权限审查，攻击者难以横跨至云服务资源中从而获取更多信息，也难以绕过日志监控系统，可能会留下更多的攻击痕迹。而强大的威胁检测机制则可以在攻击者进一步深入之前给出警报信息，帮助客户及时止损。
🎯
关键要点
- 根据Sophos安全公司报告，2022年云上网络攻击增加了56%。
- 攻击者利用容器化工作负载获得初始访问权限，扩大影响至客户的AWS账户。
- 攻击者通过元数据服务获取临时凭证权限，窃取专利数据和敏感信息。
- 网络安全是一项复杂的系统工程，需做到最佳防护，尤其是最小权限原则和威胁检测机制。
- 遵循最小化原则并定期进行权限审查，可以减少攻击者获取更多信息的可能性。
- 强大的威胁检测机制可以及时警报，帮助客户止损。
- 攻击链包括初始访问、权限提升、横向移动和信息收集等步骤。
- 攻击者通过暴露的服务获得初始访问权限，并利用IMDS进行权限提升。
- 攻击者通过AWS API获取更多账户信息，并尝试绕过CloudTrail日志监控。
- Terraform状态文件可能包含凭证信息，攻击者利用此信息进行横向移动。
- 此次事件强调了合理分配IAM角色权限的重要性，以减少潜在的安全风险。
➡️
