Bishop Fox lança ferramenta de enumeração de nuvem CloudFox

Bispo Fox liberado CloudFox, uma ferramenta de segurança de linha de comando que ajuda testadores de penetração e profissionais de segurança a encontrar possíveis caminhos de ataque em suas infraestruturas de nuvem.

A principal inspiração para CloudFox foi criar algo como PowerView para infraestrutura em nuvem, segundo os consultores da Bishop Fox, Seth Art e Carlos Vendramini escreveu em uma postagem no blog anunciando a ferramenta. O PowerView, uma ferramenta do PowerShell usada para obter conhecimento situacional da rede em ambientes do Active Directory, fornece aos testadores de penetração a capacidade de enumerar a máquina e o domínio do Windows.

Por exemplo, Art e Vendramini descreveram como o CloudFox poderia ser usado para automatizar várias tarefas que os testadores de penetração executam como parte de um compromisso, como procurar credenciais associadas ao Amazon Relational Database Service (RDS), rastrear a instância específica do banco de dados associada a essas credenciais. e identificando os usuários que têm acesso a essas credenciais. Nesse cenário, Art e Vendramini observaram que o CloudFox pode ser usado para entender quem – sejam usuários específicos ou grupos de usuários – poderia explorar essa configuração incorreta (neste caso, as credenciais RDS expostas) e realizar um ataque (como roubar dados de o banco de dados).

A ferramenta atualmente suporta apenas Amazon Web Services, mas o suporte para Azure, Google Cloud Platform e Kubernetes está no roteiro, disse a empresa.

O Bispo Fox criou um política personalizada para usar com a política do Security Auditor na Amazon Web Services que concede ao CloudFox todas as permissões necessárias. Todos os comandos do CloudFox são somente leitura, o que significa que executá-los não mudará nada no ambiente de nuvem.

“Você pode ter certeza de que nada será criado, excluído ou atualizado”, escreveram Art e Vendramini.

Alguns comandos incluem:

• Inventário: descubra quais regiões são usadas na conta de destino e forneça o tamanho aproximado da conta contando o número de recursos em cada serviço.
• Endpoints: enumera endpoints de serviço para vários serviços ao mesmo tempo. A saída pode ser alimentada em outras ferramentas, como Aquatone, gowitness, gobuster e ffuf.
• Instâncias: gera uma lista de todos os endereços IP públicos e privados associados às instâncias do Amazon Elastic Compute Cloud (EC2) com nomes e perfis de instância. A saída pode ser usada como entrada para o nmap.
• Chaves de acesso: Retorna uma lista de chaves de acesso ativas para todos os usuários. Esta lista seria útil para fazer referência cruzada de uma chave para descobrir a qual conta no escopo a chave pertence.
• Buckets: identifica os buckets na conta. Existem outros comandos que podem ser usados ​​para inspecionar ainda mais os buckets.
• Segredos: lista segredos do AWS Secrets Manager e do AWS Systems Manager (SSM). Esta lista também pode ser usada para fazer referência cruzada de segredos para descobrir quem tem acesso a eles.

“Encontrar caminhos de ataque em ambientes de nuvem complexos pode ser difícil e demorado”, escreveram Art e Vendramini, observando que a maioria das ferramentas para analisar ambientes de nuvem se concentra na conformidade básica de segurança. “Nosso público principal são os testadores de penetração, mas acreditamos que o CloudFox será útil para todos os profissionais de segurança em nuvem.”