cyberark/skyarkSkyArkは、AzureとAWSで最も特権的なエンティティを発見、評価、保護するのに役立ちます。
SkyArkは現在、Cloud Shadow Adminsという新たな脅威を軽減することに焦点を当てており、組織がクラウドの特権エンティティを発見、評価、保護するのに役立ちます。
ステルスで覆面のクラウド管理者は、あらゆるパブリッククラウドプラットフォームに存在する可能性があり、SkyArkはAWSとAzureのリスク軽減に貢献します。
防御/ペネトレーションテスト/リスク評価の手順では、脅威に対処し、それらの特権エンティティが実際に適切に保護されていることを確認してください。
SkyArkは、Cloud Shadow Adminsという新たに発生している脅威に対処します。攻撃者が、非自明でいわゆる「制限された」権限を見つけ出し悪用して、依然として突破し権限を昇格させ、完全なクラウド管理者になる方法です。
さらに、攻撃者はそれらの巧妙な特定の権限を簡単に利用して、ステルス管理者エンティティを隠蔽し、潜伏的な永続化手法として利用することができます。
SkyArkは当初、AWS Shadow Adminsの脅威に関する調査の一環として公開され、この調査はRSA USA 2018カンファレンスで発表されました。
The AWS Shadow Admins blog post:
https://www.cyberark.com/threat-research-blog/cloud-shadow-admin-threat-10-permissions-protect/
RSAトークの録画:
https://www.youtube.com/watch?v=mK62I1BNmXs
約1年後、AzureのShadow Admins脅威を軽減するために、SkyArkにAzureStealthスキャンを追加しました！
Azure Shadow Admins脅威に関する私たちの調査は、RSA USA 2020およびHackfestカンファレンスで発表されました。
DIY: かつてない方法でAzure Shadow Adminsをハンティングする - ブログ記事:
https://www.cyberark.com/resources/threat-research-blog/diy-hunting-azure-shadow-admins-like-never-before-2
SkyArkには現在、AWStealthとAzureStealthという2つの主要なスキャンモジュールが含まれています。
スキャン結果により、組織は最も機密性が高くリスクの高い権限を持つエンティティ（ユーザー、グループ、ロール）を発見できます。
さらに、組織は環境を定期的にスキャンし、特権エンティティリストに不審な変動がないか確認することを推奨します。
潜在的な攻撃者はこれらのユーザーを狙っており、防御チームはこれらの特権ユーザーが適切に保護されていること（強力でローテーションされ安全に保管された資格情報、MFAの有効化、慎重な監視など）を確認する必要があります。
知らないものは守れないことを忘れないでください。SkyArkは、明白な管理者だけでなく、権限を簡単に昇格させて完全な管理者になることができるステルスなシャドウ管理者も含めて、最も特権のあるクラウドエンティティを発見するという複雑なミッションを支援します。
スキャンされたAzure環境で最も特権のあるユーザー（Azure Shadow Adminsを含む）を発見します。
AzureStealthの実行方法
詳細はAzureStealthのReadmeファイルにあります:
https://github.com/cyberark/SkyArk/blob/master/AzureStealth/README.md
簡単に言うと:
(1) Import-Module .\SkyArk.ps1 -force
(2) Start-AzureStealth
AzureStealthは、スキャン対象のAzure Directory（テナント）とサブスクリプションに対して読み取り専用の権限のみ必要とします。
*Azure Portal内の組み込みCloudShellを使用して、スキャンを簡単に実行することもできます:
(1) IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/cyberark/SkyArk/master/AzureStealth/AzureStealth.ps1')
(2) Scan-AzureAdmins
AzureStealthデモ:
スキャンされたAWS環境で最も特権のあるエンティティ（AWS Shadow Adminsを含む）を発見します。
AWStealthの実行方法
詳細はAWStealthのReadmeファイルにあります:
https://github.com/cyberark/SkyArk/tree/master/AWStealth
簡単に言うと:
(1) Import-Module .\SkyArk.ps1 -force
(2) Start-AWStealth
AWStealthは、スキャン対象のAWS環境のIAMサービスに対する読み取り専用の権限のみ必要とします。
AWStealthデモ:
そのようなサブモジュールの例として、AWStraceモジュールがあります。
AWStrace - AWS CloudTrailログを分析し、CloudTrailログから新たな貴重な洞察を提供します。
特に、潜在的な攻撃者がAWS Shadow Adminsとしての悪意のある活動の一部として使用する可能性のあるリスクの高いセンシティブなIAMアクションを優先します。
このモジュールはログファイルを分析し、テスト環境で実行された各アクションに関する重要な詳細を含む情報豊富なcsv結果ファイルを生成します。
セキュリティチームは結果ファイルを使用して、センシティブなアクションを調査し、それらのアクションを実行したエンティティを発見し、実行およびログ記録された各アクションに関する追加の貴重な詳細を明らかにすることができます。
スキャンモジュールのReadmeファイルをご覧ください:
AzureStealth - https://github.com/cyberark/SkyArk/blob/master/AzureStealth/README.md
AWStealth - https://github.com/cyberark/SkyArk/blob/master/AWStealth/README.md
Asaf Hecht (@Hechtov) および CyberArk Labs
高まりつつあるCloud Shadow Admins脅威に関するさらなる報道:
AWSにおける脅威:
ThreatPost: https://threatpost.com/cloud-credentials-new-attack-surface-for-old-problem/131304/
TechTarget\SearchCloudSecurity: https://searchcloudsecurity.techtarget.com/news/252439753/CyberArk-warns-of-shadow-admins-in-cloud-environments
SecurityBoulevard: https://securityboulevard.com/2018/05/cyberark-shows-how-shadow-admins-can-be-created-in-cloud-environments/
LastWatchDog: https://www.lastwatchdog.com/cyberark-shows-how-shadow-admins-can-be-created-in-cloud-environments/
Byron Acohido's Podcast: https://soundcloud.com/byron-acohido/cloud-privileged-accounts-flaws-exposed
Azureにおける脅威:
https://www.zdnet.com/article/new-tool-detects-shadow-admin-accounts-in-aws-and-azure-environments/
https://securityinfive.com/episode-797-new-tool-helps-you-find-shadow-admin-account-in-aws-and-azure/
https://awsinsider.net/articles/2020/07/29/aws-azure-shadow-admin.aspx
https://siliconangle.com/2020/07/29/cyberark-launches-open-source-shadow-admin-identification-tool-azure-aws/
https://itsecuritywire.com/quick-bytes/cyberark-introduces-shadow-admin-identification-tool-for-azure-and-aws/