Red Hot Cyber
Condividi la tua difesa. Incoraggia l'eccellenza. La vera forza della cybersecurity risiede nell'effetto moltiplicatore della conoscenza.
Redazione RHC : 4 Ottobre 2022 08:00
nuvola è un progetto open-source sviluppato dal ricercatore dal Cyber Security Researcher italiano Edoardo Rosa (@_notdodo_), nonché Security Engineer in Prima Assicurazioni. Lo strumento è stato rilasciato pubblicamente durante la conferenza RomHack 2022, il 24 Settembre a Roma.
Nuvola è la prova diretta che l’ingegno italiano e la visione di imprese italiane al passo con i tempi sono in grado di alzare l’asticella della sicurezza per tutta la community: nuvola, il cui codice e documentazione sono stati rilasciati in forma aperta, ha lo scopo di aiutare gli tutti gli analisti di sicurezza cloud nel rilevamento della complessa problematica degli attacchi di privilege escalation in ambienti complessi come AWS.
Un attaccante potrebbe iniziare le sue fasi d’attacco da una utenza con pochi privilegi ma, tramite l’abuso di permessi e/o vulnerabilità può farsi strada fino a raggiungere dei livelli di privilegi tali da causare danni irreparabili, ottenere persistenza nei sistemi o fino a prendere il completo controllo dell’account.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Tale attività prende il nome di privilege escalation ed è una delle varie tecniche utilizzate dagli attori malevoli per ottenere accesso ai dati e sistemi più importanti e sensibili delle aziende.
Una ricerca di Forrester ha dichiarato che l’80% dei data breach ha avuto modo grazie ad un furto di credenziali privilegiate che hanno permesso un primo accesso e successivi step di privilege escalation. Molte aziende ad oggi hanno adottato gli ambienti cloud con molto entusiasmo e rapidità con una conseguente riduzione, potenzialmente distruttiva, delle minime misure di sicurezza applicate a tali ecosistemi.
Come le altre tecniche utilizzate dagli attaccanti, le privilege escalation possono non essere rilevate, in particolar modo in ambienti cloud molto vasti e complessi in cui le aziende possono avere difficoltà nella visibilità e governance dei loro utenti interni, identità e operazioni effettuate.
Un gruppo di attori malevolo può analizzare e studiare l’infrastruttura della vittima per settimane o mesi (dwell time) prima di sferrare l’attacco senza che nessuno possa rilevarli. Nel 50% dei casi, infatti, la vittima non ha nemmeno la consapevolezza che un data breach è in atto senza una terza parte che la possa informare.
Nell’ambiente cloud di Amazon, AWS, quando si parla di sicurezza e misconfiguration un posto d’onore va assegnato al servizio di Identity and Access Management (IAM) in quanto permette di definire chi o cosa può fare all’interno dell’account. Ogni misconfiguration sui permessi associati a ruoli od utenti può portare ad un percorso di privilege escalation. L’unica possibilità di ridurre tali percorsi è quella di applicare sempre il principio del least privilege.
Tuttavia, non sempre è possibile applicarlo e comuni misconfiguration o vulnerabilità possono aprire la strada ad attacchi.
Gli ambienti cloud sono in continua evoluzione con nuovi servizi resi disponibili, framework, tecnologie e metodologie di deployment; proprio per questo le aziende cambiano e si adattano a tali cambiamenti anche in ambito cloud security.
Un report da parte di Cloud Security Alliance (Technology and Cloud Security Maturity, 2022)
ha dichiarato che un allarmante 84% delle aziende ha affermato di non aver nessun tipo di automazione, ancor meno automazione riguardante ambiti di sicurezza informatica. In quanto l’Identity and Access Management è un fattore chiave per la messa in sicurezza delle aziende, l’automazione delle detection di possibili vulnerabilità o percorsi d’attacco potrebbe ridurre notevolmente la superficie d’attacco e quindi anche evitare data breach.
Oltre all’aspetto prettamente tecnologico, in un altro compendio da parte di Cloud Security Alliance (The State of Cloud Security Risk, Compliance, and Misconfigurations, 2022), la mancanza di conoscenze e competenze in ambito cloud è un problema costante e bloccante.
Non sorprende quindi che l’assenza di tali requisiti è stata identificata come:
Sempre dallo stesso report è possibile anche distillare che per il 68% la presenza di misconfiguration o l’esposizione ad incidenti di sicurezza è dovuta ad una mancanza di visibilità.
Una visione globale dell’infrastruttura e dei processi è vitale sia per un attaccante che per le aziende in quanto permette di effettuare un’analisi attua a trovare i percorsi d’attacco sfruttabili per ottenere accesso abusivo ai sistemi.
Una comprensione ad alto livello dell’ambiente permette alle aziende anche di definire meglio quali sono le priorità di azione e rispettare al meglio i requisiti di sicurezza.
Nonostante la parte di sicurezza IAM sia molto importante non bisogna tralasciare anche la parte di configurazione dei servizi e risorse che possono essere esposti (Alteryx, Twilio); per questo anche avviare dei processi di Cloud Security Posture Management (CSPM) può abilitare le aziende a mettere in sicurezza i proprio asset secondo predefiniti standard di sicurezza (CIS, PCI, NIST, SOC2) o regole di compliance custom per evitare falsi positivi o aumentare il proprio livello di detection dei problemi di sicurezza.
Alcuni tool che supportano analisi di sicurezza su AWS sono estremamente utili e ben organizzati ma, la maggior parte, pecca di una visione d’insieme dell’infrastruttura e, solitamente, è sempre necessaria una revisione manuale per eliminare i falsi positivi o contestualizzarli ad alto livello.
nuvola è uno strumento open-source creato con lo scopo di effettuare analisi di sicurezza automatiche e manuali su servizi e configurazioni AWS utilizzando un database a grafo e una semplice sintassi Yaml. L’idea di base del progetto è quella di creare un digital twin di una infrastruttura cloud. Ad esempio, nuvola riprende i concetti e tratti di BloodHound; famoso strumento utilizzato per effettuare analisi di sicurezza in ambienti Active Directory.
L’utilizzo di un database a grafo come modello del digital twin, permette di aumentare le possibilità di trovare diversi percorsi d’attacco, in modo offline e centralizzato. Proprio come BloodHound, nuvola sfrutta i principi ed i vantaggi della teoria matematica dei grafi (resi trasparenti dal database Neo4j) per scoprire e rivelare le relazioni tra le varie entità del sistema cloud permettendo quindi analisi e test.
Figure 1. Un percorso di privilege escalation di esempio rilevato da nuvola
Il tool è stato reso open-source da Prima Assicurazioni ed è stato pensato community-centric in quanto è possibile creare nuove o specifiche regole di analisi per proteggere i nostri ambienti cloud, nonché aggiungere nuove funzionalità allo strumento. Proprio il supporto alla definizione di regole nel formato Yaml può aiutare anche i non esperti a contribuire al progetto.
Ad esempio tramite nuvola è possibile creare un file Yaml per ricercare tutte le istanze EC2 senza IMDSv2 (una classica misconfiguration in ambito AWS). La sintassi per tale ricerca è notevolmente più semplice, rispetto a quella offerta dal linguaggio Cypher, e permette di avere gli stessi risultati. Tale insieme di regole può essere usato come Cloud Security Posture Management.
Figure 2. Esempio di output di una ricerca di istanze EC2 vulnerabili
Il maggior vantaggio nell’utilizzo di grafi è la possibilità di ottenere dei percorsi: da un oggetto ad un altro.
È possibile, quindi, utilizzando una sintassi Yaml, che possa ricercare tutti i percorsi da un utente o ruolo AWS a determinati target; per esempio tutti i percorsi di privilege escalation sfruttando determinati permessi per raggiungere i massimi privilegi.
Figure 3. Esempio di output per la ricerca di tutti ruoli od utenti che possono, usando CloudFormation e PassRole, raggiungere i privilegi di amministratore
L’immagine precedente identifica l’output di nuvola nella ricerca di ruoli che possono effettuare privilege escalation fino a raggiungere i massimi permessi (AdministratorAccess): in particolare i ruoli cloudformation-deployer e temp-backend-api-role-runner possono essere sfruttati per tale scopo.
Il codice sorgente di nuvola è disponibile su GitHub assieme alla wiki con i dettagli tecnici e alle slide presentate durante la conferenza RomHack 2022.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
RedazioneIl MITRE ha reso pubblica la classifica delle 25 più pericolose debolezze software previste per il 2025, secondo i dati raccolti attraverso le vulnerabilità del national Vulnerability Database. Tali...
Un recente resoconto del gruppo Google Threat Intelligence (GTIG) illustra gli esiti disordinati della diffusione di informazioni, mettendo in luce come gli avversari più esperti abbiano già preso p...
All’interno del noto Dark Forum, l’utente identificato come “espansive” ha messo in vendita quello che descrive come l’accesso al pannello di amministrazione dell’Agenzia delle Entrate. Tu...
In seguito alla scoperta di due vulnerabilità zero-day estremamente critiche nel motore del browser WebKit, Apple ha pubblicato urgentemente degli aggiornamenti di sicurezza per gli utenti di iPhone ...
La recente edizione 2025.4 di Kali Linux è stata messa a disposizione del pubblico, introducendo significative migliorie per quanto riguarda gli ambienti desktop GNOME, KDE e Xfce. D’ora in poi, Wa...
