Metabadger

Предотвращайте SSRF-атаки на AWS EC2 с помощью автоматического перехода на более безопасную версию Instance Metadata Service v2 (IMDSv2).

Metabadger

Назначение и возможности

• Диагностировать и оценить текущее использование AWS Instance Metadata Service, а также понять принципы работы сервиса
• Подготовить вас к обновлению до версии 2 Instance Metadata Service для защиты от векторов атак, характерных для v1
• Дать возможность целенаправленно обновить ваши экземпляры для использования только IMDSv2
• Дать возможность отключить Instance Metadata Service там, где он не нужен, чтобы уменьшить поверхность атаки

Что такое AWS Instance Metadata Service?

• Сервис метаданных AWS предоставляет доступ ко всем объектам внутри экземпляра, включая учетные данные роли экземпляра и токен сессии
• Известные уязвимости SSRF, которые используют эту атаку как точку входа в вашу среду
• Знаменитые атаки, о которых вы слышали, некоторые из которых использовали этот метод получения доступа через уязвимое веб-приложение с доступом к сервису метаданных экземпляров
• Злоумышленник может использовать полученные из сервиса метаданных учетные данные за пределами данного экземпляра

IMDSv2 и почему её следует использовать

• Обеспечение постоянного использования экземплярами версии 2 сервиса метаданных путём требования её в конфигурации
• Включение токенов сессии с помощью PUT-запроса с обязательным заголовком запроса к AWS Metadata API; IMDSv1 не проверяет это, что упрощает атаку на сервис
• Заголовок X-Forwarded-For не разрешён в IMDSv2, что гарантирует отсутствие прокси-трафика к сервису метаданных

Постановка проблемы

У инженерных команд может быть огромное разнообразие вычислительной инфраструктуры в AWS, которую необходимо защитить от определённых уязвимостей, использующих сервис метаданных. Сервис метаданных требуется для работы на экземплярах, если используется какой-либо IAM или если экземпляру нужна информация из пользовательских данных при загрузке. Ограничение поверхности атаки ваших экземпляров имеет решающее значение для предотвращения возможности перемещения внутри вашей среды путём кражи информации, предоставляемой самим сервисом. Многочисленные известные атаки в прошлом использовали этот сервис для эксплуатации роли, прикреплённой к экземпляру, или для сброса конфиденциальных данных, доступных через сервис метаданных. Metabadger может помочь определить, где и как вы используете сервис метаданных экземпляров, а также дать вам возможность уменьшить нежелательные векторы атак для снижения общего уровня риска при работе в EC2.

Отказ от ответственности и откат

Использование этого инструмента может повлиять на вашу вычислительную инфраструктуру AWS, так как не все сервисы и приложения могут работать без сервиса метаданных или на версии 2. Будьте осторожны при развёртывании в рабочей среде и подготовьте план отката на случай, если что-то пойдёт не так. Metabadger имеет встроенную возможность отката к версии 1 сервиса по умолчанию с помощью флага -v1; вы можете использовать его для быстрого отката экземпляров до версии по умолчанию. В идеале сначала запустите этот инструмент и обновите версию метаданных в нерабочих средах в качестве испытательного полигона перед применением.

Пошаговые инструкции для усиления защиты

Шаг 1

Сначала мы хотим определить общее использование сервиса метаданных в определённом регионе AWS. Metabadger оценит текущее состояние вашего использования в регионе, на который указывают ваши учетные данные в файле /.aws/credentials или текущая принятая роль. Вы также можете указать флаг --region при выполнении команды discover-metadata, если хотите переключиться на другой регион, отличный от текущего. Когда у вас будет хорошее представление о том, какую версию используют ваши экземпляры и включён ли сервис или отключён, вы сможете составить гораздо более чёткий план действий по усилению защиты сервиса. Обратите внимание, что подробное описание каждой опции метаданных можно найти здесь.

Шаг 2

Одной из областей, которую следует оценить при переходе на версию 2 сервиса, является использование ролей IAM. Metabadger позволяет идентифицировать экземпляры в регионе, которые уже могут использовать роль IAM. Команда discover-role-usage выведет список экземпляров с прикреплёнными ролями. Если у вас много экземпляров, использующих роли, следует соблюдать осторожность при обновлении сервиса до версии 2, чтобы не нарушить общую функциональность ваших рабочих нагрузок.

Шаг 3

После завершения первоначального обнаружения и оценки вы можете создать поэтапный подход к усилению защиты вашей вычислительной инфраструктуры, используя либо версию 2 сервиса метаданных, либо отключив его там, где он не используется. Команда harden-metadata по умолчанию обновляет все экземпляры в определённом регионе. Вы также можете передать теги экземпляров с помощью флага --tags или входной файл, содержащий CSV-список экземпляров, к которым вы хотите применить конфигурацию. После того как вы внесёте соответствующие обновления до версии 2 и отключите сервис там, где он не используется, вы можете повторно оценить ситуацию с помощью пунктов из Шага 1, чтобы убедиться, что ваша среда защищена. Если у вас есть определённые экземпляры, которые вы не хотите обновлять, вы можете исключить их с помощью флага --exclusion по тегу или идентификатору экземпляра.

Требования

Metabadger требует роль IAM или учетные данные со следующими разрешениями:

ec2:ModifyInstanceAttribute
ec2:DescribeInstances

При внесении изменений в Instance Metadata Service следует проявлять осторожность и следовать дополнительным рекомендациям AWS по безопасному обновлению до версии 2. Metabadger был разработан, чтобы помочь вам в этом процессе для дальнейшего повышения безопасности вашей вычислительной инфраструктуры в AWS.

Руководство по лучшим практикам AWS по обновлению до IMDSv2

Использование и установка

Установка через pip

pip3 install --user metabadger

Установка через Github

$ git clone https://github.com/salesforce/metabadger
$ cd metabadger
$ pip install -e .

$ metabadger
Usage: metabadger [OPTIONS] COMMAND [ARGS]...

  Metabadger is an AWS Security Tool used for discovering and hardening the
  Instance Metadata service.

Options:
  --version  Show the version and exit.
  --help     Show this message and exit.

Commands:
  cloudwatch-metrics   Pull CloudWatch Metrics for MetadataNoToken usage
  disable-metadata     Disable the IMDS service on EC2 instances
  discover-metadata    Discover summary of IMDS service usage within EC2
  discover-role-usage  Discover summary of IAM role usage for EC2
  harden-metadata      Harden the AWS instance metadata service from v1 to v2

Команды

cloudwatch-metrics