Azure est piloté via l'API Azure Resource Manager (ARM), autorisée par les attributions de rôle Azure RBAC et atteinte avec un token utilisateur, un secret de principal de service ou l'identité managée d'une ressource. Presque chaque attaque est une question de RBAC : quel scope mon principal détient-il, quel rôle lui permet d'escalader, et quelle identité managée de ressource peut-il emprunter. Les surfaces ci-dessous suivent cette forme, l'élévation de privilèges résidant au sein de l'identité et le vol de credentials au sein des credentials.
Cette section concerne uniquement le plan de ressources et de gestion. Microsoft Entra ID (l'annuaire du tenant, anciennement Azure AD) s'attaque comme un annuaire et se trouve sous Entra ID à côté d'Active Directory ; les attaques sur l'identité des utilisateurs et des applications (device code, PRT, consentement, rôles Entra) y sont, pas ici.
Énumération#
L'énumération se fond dans chaque surface, mais l'inventaire à l'échelle de l'abonnement est exécuté en premier : az account list et az resource list pour le resource graph, les requêtes Azure Resource Graph pour le passage à l'échelle, les attributions de rôle avec az role assignment list --all, et les identités managées avec ROADtools, Stormspotter ou AzureHound (BARK) pour le graphe RBAC et des ressources. Tout cela alimente chaque surface ci-dessous.
Surfaces#
- Identité : écritures de rôle et de rôle personnalisé Azure RBAC, elevate-access, attribution d'identité managée et activation PIM.
- Credentials : tokens d'identité managée depuis IMDS, Key Vault, clés de stockage, assets Automation et paramètres d'application.
- Compute : run command et extensions de VM, AKS, Container Registry, Container Instances et scale sets.
- Stockage : énumération et accès aux blobs, tokens SAS, snapshots de disque et partages de fichiers.
- Serverless : Functions, Logic Apps, Automation Accounts, App Service et Deployment Scripts.
- Données : SQL Database, Cosmos DB, Data Factory, Synapse et tables de stockage.
- Réseau : network security groups et VNet, private endpoints, DNS takeover, Front Door et Bastion.
- Journalisation et détection : altération de l'Activity Log, d'Azure Monitor, de Defender for Cloud et de Sentinel.
- Messagerie : Service Bus, Event Hubs, Event Grid et Storage Queues.