Le réseau AWS détermine ce qui est accessible : des security groups trop ouverts, des services liés à Internet, le peering et les endpoints de VPC qui permettent à un point d'appui dans un réseau d'en atteindre un autre, et les services DNS et edge qui mettent en frontal et acheminent le trafic. Le réseau compromet rarement un compte à lui seul, mais c'est par lui qu'un point d'appui accessible se transforme en portée sur l'ensemble de l'environnement, et qu'un nom de confiance est capturé.
Ce qui est regroupé ici#
- Security groups : ports de management et services exposés sur Internet du fait d'un ingress trop permissif.
- VPC : peering, endpoints et routage pour pivoter entre réseaux et comptes.
- Route53 : détournement d'enregistrements et empoisonnement de la résolution là où vous disposez d'un accès en écriture à la zone.
- CloudFront : divulgation d'origine et abus du comportement de cache pour atteindre des origines protégées.
- Prise de contrôle par DNS orphelin : revendiquer la ressource S3, CloudFront ou ELB orpheline derrière un enregistrement périmé.
- Global Accelerator : listeners et endpoint groups pour mettre en frontal des endpoints derrière des IP anycast de confiance.
- VPC Lattice : auth policies de service network permissives pour une portée inter-VPC et inter-comptes.
- Direct Connect : interfaces virtuelles qui relient les réseaux on-premises au VPC.
- Network Firewall : lacunes dans les rule groups et démantèlement de l'inspection.
- WAF : contournement de web ACL par l'encodage, les limites de taille et les requêtes directes vers l'origine.
Le déplacement latéral au niveau réseau se trouve ici ; le déplacement inter-comptes basé sur l'identité via AssumeRole se trouve dans identité.