Metabadger

Previene ataques SSRF en AWS EC2 mediante actualizaciones automatizadas al más seguro Servicio de Metadatos de Instancia v2 (IMDSv2).

Metabadger

Propósito y funcionalidad

• Diagnosticar y evaluar tu uso actual del Servicio de Metadatos de Instancia de AWS, además de entender cómo funciona el servicio
• Prepararte para actualizar a la versión 2 del Servicio de Metadatos de Instancia para protegerte contra vectores de ataque de v1
• Darte la capacidad de actualizar específicamente tus instancias para que usen solo IMDSv2
• Darte la capacidad de deshabilitar el Servicio de Metadatos de Instancia donde no lo necesites, como forma de reducir la superficie de ataque

¿Qué es el AWS Instance Metadata Service?

• El servicio de metadatos de AWS básicamente te da acceso a todo lo que hay dentro de una instancia, incluyendo la credencial del rol de la instancia y el token de sesión
• Vulnerabilidades SSRF conocidas que explotan y usan este ataque como pivote hacia tu entorno
• Los famosos ataques que has oído, algunos de los cuales involucraron este método para obtener acceso a través de una aplicación web vulnerable con acceso al servicio de metadatos de instancia
• Un atacante podría tomar dichas credenciales del servicio de metadatos y usarlas fuera de esa instancia en particular

IMDSv2 y por qué debería usarse

• Asegurarse de que las instancias usen siempre la versión 2 del servicio de metadatos, exigiéndolo en su configuración
• Habilitar tokens de sesión con una solicitud PUT que incluya un encabezado de solicitud obligatorio para la API de metadatos de AWS; IMDSv1 no verifica esto, lo que facilita que los atacantes exploten el servicio
• El encabezado X-Forwarded-For no está permitido en IMDSv2, lo que garantiza que no se permita el tráfico basado en proxy para comunicarse con el servicio de metadatos

Planteamiento del problema

Los equipos de ingeniería pueden tener una gran variedad de infraestructura de cómputo en AWS que necesitan proteger de ciertas vulnerabilidades que aprovechan el servicio de metadatos. El servicio de metadatos es necesario para ejecutarse en las instancias si se usa algún IAM o si hay información de datos de usuario que la instancia pueda necesitar al arrancar. Limitar la superficie de ataque de tus instancias es crucial para evitar la capacidad de pivotar en tu entorno robando información proporcionada por el propio servicio. Numerosos ataques famosos en el pasado han aprovechado este servicio para explotar un rol asociado a la instancia o volcar datos sensibles accesibles a través del servicio de metadatos. Metabadger puede ayudar a identificar dónde y cómo estás usando el servicio de metadatos de instancia, a la vez que te brinda la capacidad de reducir cualquier apalancamiento de ataque no deseado para bajar tu postura de riesgo general mientras operas en EC2.

Descargo de responsabilidad y reversión

El uso de esta herramienta puede afectar tu infraestructura de cómputo en AWS, ya que no todos los servicios y aplicaciones pueden funcionar sin el servicio de metadatos o en la versión 2. Ten precaución al implementarlo en tu entorno de producción y ten un plan de reversión por si algo parece fuera de lo común. Metabadger incluye la capacidad de revertir a la versión 1 predeterminada del servicio usando la bandera -v1, que puedes usar para revertir rápidamente tus instancias al valor predeterminado. Idealmente, deberías ejecutar esta herramienta y actualizar la versión de metadatos en entornos que no sean de producción como campo de pruebas antes de aplicarlo.

Pasos guiados para el endurecimiento

Paso 1

Inicialmente, queremos descubrir nuestro uso general del servicio de metadatos en una región particular de AWS. Metabadger evaluará el estado actual de tu uso en la región a la que apuntan tus credenciales en tu archivo /.aws/credentials o el rol actual que se asume. También puedes especificar la bandera --region al ejecutar el comando discover-metadata si deseas cambiar a otra región que no sea la configurada actualmente. Una vez que tengas una buena idea de qué versión están usando tus instancias y si el servicio está habilitado o deshabilitado, podrás elaborar un plan de acción mucho más definido para endurecer el servicio. Ten en cuenta que puedes encontrar el significado específico de cada opción de metadatos aquí.

Paso 2

Uno de los aspectos que se debe evaluar al hacer el cambio a la versión 2 del servicio es el uso de roles de IAM. Metabadger te permite identificar instancias en una región que ya podrían estar usando un rol de IAM. El comando discover-role-usage mostrará una lista de instancias que tienen roles asociados. Si tienes muchas instancias usando roles, debes tener precaución al actualizar el servicio a v2 para asegurarte de que la funcionalidad general de tus cargas de trabajo no se vea afectada.

Paso 3

Una vez que hayas completado tu descubrimiento y evaluación iniciales, ahora puedes crear un enfoque por etapas para endurecer tu infraestructura de cómputo para usar la versión 2 del servicio de metadatos o deshabilitarlo donde no se use. El comando harden-metadata te permite actualizar todas las instancias en una región particular de forma predeterminada. También puedes pasar etiquetas de instancia usando la bandera --tags o un archivo de entrada que contenga un CSV de instancias a las que deseas aplicar una configuración. Una vez que hayas realizado las actualizaciones apropiadas a v2 y deshabilitado el servicio donde no se usa, puedes reevaluar usando los elementos del Paso 1 para confirmar que tu entorno esté bloqueado. Si tienes ciertas instancias que no deseas actualizar, puedes excluirlas mediante la bandera --exclusion por etiqueta o ID de instancia.

Requisitos

Metabadger requiere un rol de IAM o credenciales con los siguientes permisos:

ec2:ModifyInstanceAttribute
ec2:DescribeInstances

Al realizar cambios en el Servicio de Metadatos de Instancia, debes ser cauteloso y seguir las indicaciones adicionales de AWS sobre cómo actualizar de forma segura a la versión 2. Metabadger fue diseñado para ayudarte con este proceso para asegurar aún más tu infraestructura de cómputo en AWS.

Guía de mejores prácticas de AWS sobre la actualización a IMDSv2

Uso e instalación

Instalar mediante pip

pip3 install --user metabadger

Instalar mediante Github

$ git clone https://github.com/salesforce/metabadger
$ cd metabadger
$ pip install -e .

$ metabadger
Usage: metabadger [OPTIONS] COMMAND [ARGS]...

  Metabadger is an AWS Security Tool used for discovering and hardening the
  Instance Metadata service.

Options:
  --version  Show the version and exit.
  --help     Show this message and exit.