☁️ Smogcloud

Encuentra activos de AWS en la nube expuestos que no sabías que tenías. Un inventario completo de activos es el primer paso para cualquier programa de seguridad capaz. Creamos smogcloud para permitir a los ingenieros de seguridad, probadores de penetración y administradores de AWS monitorear los cambios colectivos que crean activos dinámicos y efímeros orientados a Internet con mayor frecuencia. Puede ser útil para identificar:

• FQDNs e IPs orientados a Internet en una o cientos de cuentas de AWS
• Configuraciones incorrectas o vulnerabilidades
• Activos que ya no están en uso
• Servicios no monitoreados actualmente
• TI en la sombra

🛠 Primeros pasos

1. Instala y configura golang

2. Instala smogcloud usando el siguiente comando

   root@kitploit:~

       go get -u github.com/BishopFox/smogcloud
   

3. Configura la variable de entorno de AWS para la cuenta que deseas consultar. Sugerimos utilizar un rol de Auditor de Seguridad de solo lectura. Los siguientes comandos se pueden usar para establecer las variables de entorno:

   root@kitploit:~

   export AWS_ACCOUNT_ID=''            # Describe account
   export AWS_ACCESS_KEY_ID=''         # Access key for aws account
   export AWS_SECRET_ACCESS_KEY=''     # Secret key for aws account
   

4. Ejecuta la aplicación

   root@kitploit:~

   smogcloud
   

   o

   root@kitploit:~

   go run main.go
   

🕵️ Servicios actuales

Servicios compatibles para extraer exposiciones a Internet:

* API Gateway
* CloudFront
* EC2
* Elastic Kubernetes Service
* Elastic Beanstalk
* Elastic Search
* Elastic Load Balancing 
* IoT
* Lightsail
* MediaStore
* Relational Database Service
* Redshift
* Route53
* S3

🔎 Patrones de AWS

Al estudiar la documentación de Open API sobre los endpoints RESTful de AWS, determinamos que estos son los patrones de URI de exposición que puedes encontrar en las cuentas de AWS. Es importante entender cómo interactuar con estos servicios nativos para probarlos en busca de vulnerabilidades y otras configuraciones incorrectas. Los ingenieros de seguridad pueden querer monitorear los registros de Cloudtrail o construir un monitoreo de DNS para las solicitudes a estos servicios.

• s3
  • https://{user_provided}.s3.amazonaws.com
• cloudfront
  • https://{random_id}.cloudfront.net
• ec2
  • ec2-{ip-seperated}.compute-1.amazonaws.com
• es
  • https://{user_provided}-{random_id}.{region}.es.amazonaws.com
• elb
  • http://{user_provided}-{random_id}.{region}.elb.amazonaws.com:80
  • https://{user_provided}-{random_id}.{region}.elb.amazonaws.com:443
• elbv2
  • https://{user_provided}-{random_id}.{region}.elb.amazonaws.com
• rds
  • mysql://{user_provided}.{random_id}.{region}.rds.amazonaws.com:3306
  • postgres://{user_provided}.{random_id}.{region}.rds.amazonaws.com:5432
• route53
  • {user_provided}
• execute-api
  • https://{random_id}.execute-api.{region}.amazonaws.com/{user_provided}
• cloudsearch
  • https://doc-{user_provided}-{random_id}.{region}.cloudsearch.amazonaws.com
• transfer
  • sftp://s-{random_id}.server.transfer.{region}.amazonaws.com
• iot
  • mqtt://{random_id}.iot.{region}.amazonaws.com:8883
  • https://{random_id}.iot.{region}.amazonaws.com:8443
  • https://{random_id}.iot.{region}.amazonaws.com:443
• mq
  • https://b-{random_id}-{1,2}.mq.{region}.amazonaws.com:8162
  • ssl://b-{random_id}-{1,2}.mq.{region}.amazonaws.com:61617
• kafka
  • b-{1,2,3,4}.{user_provided}.{random_id}.c{1,2}.kafka.{region}.amazonaws.com
  • {user_provided}.{random_id}.c{1,2}.kafka.{region}.amazonaws.com
• cloud9
  • https://{random_id}.vfs.cloud9.{region}.amazonaws.com
• mediastore
  • https://{random_id}.data.mediastore.{region}.amazonaws.com.
• kinesisvideo
  • https://{random_id}.kinesisvideo.{region}.amazonaws.com
• mediaconvert
  • https://{random_id}.mediaconvert.{region}.amazonaws.com
• mediapackage
  • https://{random_id}.mediapackage.{region}.amazonaws.com/in/v1/{random_id}/channel

📌 Referencias

• AWS SDK Go
• API-guru Open API for AWS
• aws-cli

👨‍💻 Autores

• Oscar Salazar - Trabajo inicial - Bishop Fox
• Rob Ragan - Trabajo inicial - Bishop Fox 🐦 @sweepthatleg
• Brandon Gaudet - Trabajo inicial - Bishop Fox

✨ Contribuciones

Hacemos nuestro mejor esfuerzo para mantener nuestras herramientas, pero no siempre podemos mantenerlas tan actualizadas como nos gustaría. Por eso, siempre agradecemos contribuciones de código, solicitudes de funciones e informes de errores.

📣 Agradecimientos

Gracias por la inspiración

• Cloudmapper
• AWS Public IPs
• John Backes & Tiros
• IAM Access Analyzer
• Cartography

📄 Licencia

Smogcloud está licenciado bajo GPLv3, algunos subcomponentes tienen licencias separadas.