Une fois que vous détenez une instance ou un rôle à l'intérieur d'un VPC, la topologie réseau détermine jusqu'où vous pouvez aller. Les connexions de peering, les transit gateways et les tables de routage relient les VPC entre eux (souvent entre comptes), et les endpoints de VPC exposent des chemins d'accès aux services AWS. Lire le graphe de routage et de peering avec ec2:Describe* révèle quelles plages internes et quels comptes sont accessibles depuis votre point d'appui.
Lire le graphe d'accessibilité#
aws ec2 describe-vpc-peering-connections \
--query "VpcPeeringConnections[].[VpcPeeringConnectionId,RequesterVpcInfo.CidrBlock,AccepterVpcInfo.CidrBlock]"
aws ec2 describe-route-tables \
--query "RouteTables[].Routes[].[DestinationCidrBlock,GatewayId,VpcPeeringConnectionId,TransitGatewayId]"
aws ec2 describe-transit-gateway-attachments
Endpoints et services d'interface#
# interface/gateway endpoints reveal which services the VPC can reach privately
aws ec2 describe-vpc-endpoints \
--query "VpcEndpoints[].[ServiceName,VpcEndpointType,VpcId]"
Notes d'exploitation#
- Une route de peering vers le CIDR d'un autre compte est un pivot inter-comptes : scannez cette plage depuis votre point d'appui dès lors qu'une route existe.
- Les transit gateways concentrent l'accessibilité : un seul attachement peut exposer de nombreux VPC d'un coup.
- Les endpoints d'interface dotés de politiques d'endpoint permissives permettent à un principal situé dans le VPC d'atteindre des services que le compte entendait garder privés.
Outils#
- AWS CLI (
ec2 describe-*) : le graphe de routage et de peering. - ScoutSuite : visualiser l'exposition du peering et des endpoints.
- pmapper : les arêtes IAM inter-comptes, qui recoupent souvent le peering réseau.