「ShutterGap」と名付けられたクラウドセキュリティツールの重大な盲点により、数百万件ものAWSリソースが短時間だけ公開状態にさらされ、従来型の監視ツールが検知するより前に消えてしまうことが明らかになりました。
研究者のAriel Litmanovich氏、Tom Tsabar氏、Ido Dar氏は、通常24時間に1回の頻度で環境をスキャンするCSPM(Cloud Security Posture Management)およびCNAPP(Cloud-Native Application Protection Platform)ツールが、数分のうちに出現して消える露出を原理的に検知できないことを突き止めました。
研究チームがAWSのus-east-1リージョンで公開RDSスナップショットを監視したところ、わずか90分の間にスナップショット数が12回も変動し、その短い時間内に公開共有されたリソースの作成と削除がそれぞれ6件ずつ発生していたことが観測されました。
露出したリソースの種類には、RDSおよびDocumentDBのスナップショット、EC2のAMI、EBSスナップショット、SSMドキュメント、そして公開ECRリポジトリが含まれます。
これらのリソースが誤って設定されると、ネットワーク制限を完全に迂回する形で、どのAWSアカウントからでも完全にアクセス可能になり、単純な列挙作業だけで発見されてしまいます。
データはこの露出時間の窓がいかに狭くなっているかを示しています。公開RDSスナップショットの20%は存在時間が2分未満で、削除されたRDSおよびDocumentDBスナップショットの99%は作成から30分以内に姿を消していました。
露出したSSMドキュメントとAMIのおよそ30%は24時間以内に消えており、これは多くのCNAPPのスキャンサイクルが完了するよりも速いペースです。
こうした短い露出時間であっても、攻撃者が被害を及ぼすのに多くの時間は必要ありません。スナップショットを外部のAWSアカウントへコピーするのはわずか数秒で完了し、その後は元の露出がどれだけ続いたかに関係なく、データを自分のペースで復元・解析できてしまうためです。
実際のリスクを検証するため、研究者らは24件の公開スナップショットのサンプルを復元し、その内容をダンプした上でTruffleHogと独自の検知ルールを組み合わせて自動スキャンするパイプラインを構築しました。
すべてのスナップショットからAWSアカウントIDが検出されたほか、多くのケースでシークレット、秘密鍵、メールアドレス、さらにはクレジットカード番号までもが露出しており、これが理論上の懸念ではなく実際に機能しているデータ漏洩経路であることが裏付けられました。
Aryonが主張する核心は、ほとんどのCNAPPプラットフォームの中心にある「検知してから修復する」というモデルが、スキャンサイクルの合間に出現しては消える露出には構造的に対応できないという点です。
アラートが発報され、トリアージされ、人間の担当者に届くころには、攻撃者はすでにデータをコピーして立ち去っていることが少なくありません。この報告書では検知よりも予防を重視しており、露出したリソースの種類ごとにAWSのService Control Policy(SCP)をガードレールとして活用することを提案しています。
RDSおよびDocumentDBについては、組織はModifyDBSnapshotAttributeアクションを完全に拒否するか、ストレージ暗号化を強制することが可能です。暗号化されたスナップショットはそもそも公開共有ができないためです。
AMIについては、AWSのデフォルト設定である「Block Public Access for AMIs」をSCPで固定し、無効化されないようにすべきです。デフォルトでは保護されないSSMドキュメントについては、管理者がまずアカウントレベルの公開共有ブロックを有効にし、その上でssm:UpdateServiceSettingに対する拒否ルールでその設定を固定する必要があります。
また、過去の露出履歴を確認するために、過去90日分のCloudTrailログからModifyDBSnapshotAttribute、ModifyImageAttribute、ModifyDocumentPermissionの各イベントを監査することも推奨されています。
この研究はMitigaによる公開RDSスナップショットに関する先行研究を土台としていますが、修復戦略の面では大きく異なる立場を取っており、数秒のうちに発生して消える脅威に対して検知優先のアプローチでは不十分だと主張しています。
重要な点として、AryonはこれがAWS自体の脆弱性ではなく、AWSのドキュメントですでに明確に警告されている、広く見られる顧客側の設定ミスの問題であると指摘しています。
SOCの調査における死角を減らし、脅威をより早い段階で封じ込めることで、ANY.RUNを使って対応コストと業務への影響を削減しましょう。
翻訳元: https://cyberpress.org/shuttergap-exposes-millions-of-aws-cloud/
