紅隊視角-審核雲端環境

辨識雲端

為了快速辨識雲端環境，需要辨識以下內容：

服務識別

首先，先確定這個雲端環境會有哪些正在運作的服務，不同的服務會有不同的風險與攻擊面。

外部暴露

哪些端口和服務暴露在外部網路，評估存在的攻擊面。包括任何開放的端口、應用程式及任何可能的弱點。

訪問權限

包括IAM的配置、用戶角色及身份驗證及授權相關的策略。

內外網連接

探查內部雲端服務是否與外部服務有連接，這些連接可能形成攻擊通道。

破壞雲端環境

以AWS為例，
破壞AWS環境的第一步是嘗試獲取一些憑證

OSINT

收集所以來自公開可用的訊息

Github/Gitlab （或類似）洩漏的credential

尋找在版本控制中不慎洩漏的憑證，這些憑證可能包含對AWS資源的訪問權限。

社交工程

通過欺騙、誘導等方式，針對目標人員試圖獲得敏感資訊。

密碼重複使用／密碼洩漏

利用被多次使用的密碼或曾經在其他平台上洩漏的密碼，來嘗試登錄AWS賬戶。

AWS 託管服務中的漏洞

尋找AWS託管服務中已知或未公開的漏洞，以獲得未授權的訪問權限。

本地文件讀取

搜尋受感染的主機，例如AWS憑證存取位置，來竊取憑證。
* /home/USERNAME/.aws/credentials
* C:\Users\USERNAME\.aws\credentials

第三方洩漏

尋找第三方服務或供應商的洩漏，這些洩漏可能包含AWS憑證。

內部員工洩漏

通過社交工程或其他方式誘導內部員工泄漏憑證或訪問信息。

Cognito 憑證

如果目標使用Amazon Cognito進行身份驗證和授權，攻擊者可能會針對Cognito憑證進行攻擊。