Saldırı yolu analizi özelliği, Alibaba Cloud üzerindeki cloud hizmetleri arasındaki erişim yollarını (örneğin, bir ECS örneğine eklenen RAM rolü tarafından kontrol edilen bir OSS paketi) kapsamlı şekilde tarar ve analiz eder. Görselleştirilmiş tarama sonuçları sunarak cloud kaynaklarına erişimin güvenlik durumunu anlamanıza yardımcı olur. Bu konuda saldırı yolu analizi özelliğinin nasıl kullanılacağı açıklanmaktadır.
Özellik açıklaması
Saldırı yolu analizi özelliğini kullanarak farklı cloud hizmetleri arasındaki bağlantıları ve potansiyel riskleri net bir şekilde anlayabilir, gereksiz doğrudan erişim izinlerini belirleyebilir ve aşırı geniş izin ayarları veya şifrelenmemiş veri iletimi gibi istismar edilebilecek zayıf noktaları tespit edebilirsiniz. Security Center ayrıca potansiyel tehditleri azaltmak ve sistemin genel güvenliğini artırmak amacıyla kaynak izin yapılandırmalarınızı ayarlamanız için rehberlik eden güvenlik önerileri otomatik olarak oluşturur. Bu özellik, kritik verileri ve uygulamaları saldırılara karşı koruyarak hacker'lar tarafından istismar edilebilecek güvenlik açıklarını önceden tespit etmenize ve düzeltmenize yardımcı olur.
Desteklenen varlıklar
Security Center'ın saldırı yolu analizi özelliği, mevcut Alibaba Cloud hesabında (birincil hesap) aşağıdaki gereksinimleri karşılayan varlıkları tarayabilir.
Saldırı yollarının giriş varlığı türleri (istila edilen varlık türleri): Elastic Compute Service (ECS) örnekleri ve RAM (roller ve AccessKey ID'leri).
Saldırı yollarının hedef varlık türleri (hedef varlık türleri): Elastic Compute Service (ECS) örnekleri, RAM (Alibaba Cloud birincil hesapları, kullanıcılar, ilkeler, kullanıcı grupları ve roller) ve Object Storage Service (OSS) paketleri.
Uyarı olayları, yalnızca giriş varlığında aşağıdaki risk senaryolarından en az biri mevcut olduğunda saldırı yolu kontrollerinin çıktısı olarak raporlanır.
ECS örneklerinde yüksek aciliyete sahip güvenlik açıkları bulunmaktadır.
ECS örnekleri İnternet'e açıktır (bu risk en az bir başka riskle birlikte görünmelidir).
ECS örneklerinde acil uyarılar mevcuttur ( sayfasında raporlanan ECS örneklerine ilişkin uyarılar).
Bir RAM rolüyle ilişkili AccessKey çiftinde (AccessKey ID ve AccessKey Secret) acil uyarılar mevcuttur (güvenlik uyarısı hizmetindeki Host and Container Security türündeki uyarılar).
RAM rolleri hesaplar arasında üstlenebilir.
Uyarıları tetikleyebilecek saldırı yolları
Security Center, gereksinimleri karşılayan varlıklar üzerinde saldırı yolu türlerine (anormal AccessKey çifti, hassas varlık, rol üzerinden yetki yükseltme ve kullanıcı üzerinden yetki yükseltme) ve saldırı yolu senaryolarına göre tarama görevleri çalıştırır ve tespit edilen saldırı yollarına ilişkin uyarı bilgilerini raporlar.
Anormal AccessKey çifti
Anormal AccessKey çiftinin ait olduğu RAM kullanıcısı RAM'i yönetebilir.
Anormal AccessKey çiftinin ait olduğu RAM kullanıcısı yönetici izinlerine sahiptir.
Hassas varlıklar
Saldırı yolu analizi özelliği, belirli hassas varlıkları yapılandırmanıza ve bu hassas varlıkları saldırı yolu analizi görevlerinin hedef varlıkları olarak kullanarak saldırı yolu senaryolarının mevcut olup olmadığını kontrol etmenize olanak tanır.
Bir ECS örneğine eklenen rol hassas varlıklara erişebilir.
Anormal AccessKey çiftinin ait olduğu RAM kullanıcısı hassas varlıklara erişebilir.
Bir rolün hassas varlıklara erişim izni vardır ve diğer Alibaba Cloud hesapları tarafından üstlenebilir.
Hassas varlık yapılandırılmamışsa, ilgili saldırı yoluna ilişkin tarama sonuçları boş olur. Hassas varlıkların nasıl yapılandırılacağı hakkında daha fazla bilgi için aşağıdaki Hassas varlıkları yapılandırma bölümüne bakın.
Rol üzerinden yetki yükseltme
Bir ECS örneği, eklenen RAM rolü aracılığıyla doğrudan yönetici izinleri alabilir.
Bir ECS örneğine eklenen rol RAM'i yönetebilir.
Bir ECS örneği, eklenen role ilke ekleyerek yetki yükseltebilir.
Bir ECS örneği, eklenen rolünün ilkelerini değiştirerek yetki yükseltebilir.
Bir ECS örneği, eklenen rolünün ilkelerinin varsayılan sürümünü değiştirerek yetki yükseltebilir.
Bir ECS örneği, eklenen rolünü değiştirerek yetki yükseltebilir.
Bir ECS örneği, AccessKey çiftleri oluşturarak uzun süreli erişim kimlik bilgileri elde edebilir.
Bir ECS örneği, RAM kullanıcıları için web konsolu oturum açmayı etkinleştirerek uzun süreli erişim kimlik bilgileri elde edebilir.
Bir ECS örneği, RAM kullanıcılarının oturum açma yapılandırmalarını değiştirerek web konsolu oturum açmayı etkinleştirebilir.
Bir ECS örneği, RAM kullanıcılarına ilke vererek yetki yükseltebilir.
Bir ECS örneği, RAM kullanıcılarına verilen ilkeleri değiştirerek yetki yükseltebilir.
Bir ECS örneği, RAM kullanıcılarının kullanıcı gruplarını değiştirerek yetki yükseltebilir.
Bir ECS örneği, RAM kullanıcılarının kullanıcı gruplarına ilke vererek yetki yükseltebilir.
Bir ECS örneği, RAM kullanıcılarının kullanıcı gruplarına verilen ilkeleri değiştirerek yetki yükseltebilir.
Bir ECS örneği, yüksek riskli rollerin güven ilkelerini değiştirerek yetki yükseltebilir.
Bir ECS örneği, RAM kullanıcılarının şu anda üstlenebileceği rollerin ilkelerini değiştirerek yetki yükseltebilir.
Bir ECS örneği, RAM kullanıcılarının şu anda üstlenebileceği roller aracılığıyla doğrudan yetki yükseltebilir.
Bir ECS örneği, eklenen örnek rolünün şu anda üstlenebileceği roller aracılığıyla doğrudan yetki yükseltebilir.
Bir ECS örneği, diğer ECS örneklerine eklenen rollerin yüksek riskli izinlerini elde ederek yetki yükseltebilir.
Bir rolün yönetici izinleri vardır ve diğer Alibaba Cloud hesapları tarafından üstlenebilir.
Bir rol RAM'i yönetebilir ve diğer Alibaba Cloud hesapları tarafından üstlenebilir.
Bir rolün yüksek riskli izinleri vardır ve diğer Alibaba Cloud hesapları tarafından üstlenebilir.
Bir rol kendisine ilke ekleyerek yetki yükseltebilir ve diğer Alibaba Cloud hesapları tarafından üstlenebilir.
Bir rol kendi ilkelerini değiştirerek yetki yükseltebilir ve diğer Alibaba Cloud hesapları tarafından üstlenebilir.
Kullanıcı üzerinden yetki yükseltme
Bir RAM kullanıcısı kendisine ilke ekleyerek yetki yükseltebilir.
Bir RAM kullanıcısı kendi ilkelerini değiştirerek yetki yükseltebilir.
Bir RAM kullanıcısı kendi kullanıcı grubuna ilke ekleyerek yetki yükseltebilir.
Bir RAM kullanıcısı kendi kullanıcı grubunun ilkelerini değiştirerek yetki yükseltebilir.
Bir RAM kullanıcısı bir rolün güven ilkesini değiştirip ardından bu rolü üstlenerek yetki yükseltebilir.
Bir RAM kullanıcısı bir ECS örneğinde komut çalıştırarak rol izinleri elde edebilir ve yetki yükseltebilir.
Bir RAM kullanıcısı bir ECS örneğinde dosya göndererek rol izinleri elde edebilir ve yetki yükseltebilir.
Bir RAM kullanıcısı bir ECS terminal oturumu başlatarak yüksek riskli bir rolün izinlerini elde edebilir ve yetki yükseltebilir.
Bir RAM kullanıcısı bir ECS örneğinin parolasını sıfırlayarak yüksek riskli bir rolün izinlerini elde edebilir ve yetki yükseltebilir.
Bir RAM kullanıcısı bir Linux sunucusuna SSH anahtar çifti bağlayarak yüksek riskli bir rolün izinlerini elde edebilir ve yetki yükseltebilir.
Bir RAM kullanıcısı bir örnek oluşturup buna bir örnek rolü ekleyerek yüksek riskli bir rolün izinlerini elde edebilir ve yetki yükseltebilir.
Bir RAM kullanıcısı örneklerin rol bağlama yapılandırmalarını değiştirerek yüksek riskli bir rolün izinlerini elde edebilir ve yetki yükseltebilir.
Saldırı yolu analizini etkinleştirme
Cloud Security Posture Management aboneliğini veya kullandıkça öde hizmetini etkinleştirdikten sonra saldırı yolu analizi özelliğini kullanabilirsiniz. Özellik Cloud Security Posture Management kotasını tüketmez. Cloud Security Posture Management hizmetini etkinleştirme hakkında daha fazla bilgi için bkz. CSPM'ye genel bakış.
İstatistiklerin açıklaması
Saldırı yolu analizi sonuçları her gün otomatik olarak yenilenir. Security Center konsolundaki CSPM sayfası, Attack Path sekmesinde saldırı yollarını ve riske maruz varlıklarla ilgili ayrıntılı bilgileri görüntüler.
|
|
|
|
|
|
|
|
|
|
|
|
Saldırı yolu tarama yapılandırmalarını yönetme
Hassas varlıkları yapılandırma
Saldırı yolu tarama görevlerinde hassas varlıkları içeren saldırı yollarını taramak için ilgili hassas varlıkları yapılandırmanız gerekir. Aksi takdirde, ilgili saldırı yoluna ilişkin tarama sonuçları boş olur.
Security Center konsolunda oturum açın.
Sol gezinme bölmesinde seçeneğini belirleyin. Konsolun sol üst köşesinde korunacak varlığın bulunduğu bölgeyi seçin: Chinese Mainland veya Outside Chinese Mainland.
CSPM sayfasının Attack Path sekmesinde sağ üst köşede bulunan Policy Management öğesine tıklayın veya Attack Path Scan bölümündeki Scan Configuration öğesine tıklayın.
Sensitive Asset to Scan sekmesinin sol gezinme bölmesinde bir varlık türüne tıklayın ve ardından sağ taraftaki varlık listesinde hedef varlığın önündeki onay kutusunu seçin.
OK seçeneğine tıklayın.
İzin listesini yapılandırma
Belirli giriş varlıkları ile hedef varlıklar arasında saldırı yolu taramalarına gerek olmadığından eminseniz hedef varlıkları ve ilgili saldırı yolu kurallarını bir izin listesine ekleyebilirsiniz. Security Center bundan sonra izin listesindeki saldırı yolu bilgilerini raporlamaz.
CSPM sayfasının Attack Path sekmesinde sağ üst köşede bulunan Policy Management öğesine tıklayın veya Attack Path Scan bölümündeki Scan Configuration öğesine tıklayın.
Whitelist Policy sekmesinde By Attack Path sekmesine tıklayın.
-
Create Rule seçeneğine tıklayın, izin listesi kuralı parametrelerini yapılandırın ve ardından OK seçeneğine tıklayın.
Parametre
Açıklama
İzin listesi ilkesi adı
İzin listesi kuralının özel adı. Yalnızca Çince karakterler, harfler, rakamlar ve alt çizgi (_) desteklenir.
Yol türü seçimi
İzin listesine eklenecek yol türü. Geçerli değerler: anormal AccessKey çifti, hassas varlık, rol üzerinden yetki yükseltme ve kullanıcı üzerinden yetki yükseltme.
Saldırı yolu seçimi
Seçilen yol türü için izin listesine eklenecek saldırı yolları.
Kuralın geçerli olduğu varlıklarİzin listesine eklenecek varlıklar. Geçerli değerler: All Assets ve Specific Assets.
Specific Assets seçeneğini belirlerseniz saldırı yolunun Source Assets ve Destination Assets öğelerini seçmeniz gerekir.
Saldırı yolu tarama görevleri
Security Center, desteklenen varlık türlerine ve saldırı yollarına göre günde bir kez otomatik olarak bir tarama görevi çalıştırır.
Hassas varlık yapılandırılmamışsa ilgili saldırı yolu kurallarının tarama sonuçları boş olur.
Bir izin listesi yapılandırılmışsa Security Center izin listesindeki giriş varlıkları ile hedef varlıklar arasındaki saldırı yolu kurallarını taramaz veya bu kurallar için uyarı oluşturmaz.
Saldırı yolu tarama görevini manuel olarak çalıştırma
CSPM sayfasının Attack Path sekmesinde Attack Path Scan bölümündeki Quick Scan seçeneğine tıklayın.
Görev bilgilerini görüntüleme
Security Center, son yedi gün içinde başlatılan otomatik ve manuel tarama görevlerini varsayılan olarak kaydeden Task Management sayfasını sağlar.
CSPM sayfasında sağ üst köşede bulunan Task Management seçeneğine tıklayın.
Task Management sayfasında Task ID, Task Type, Start Time/End Time ve Status (Başlatılacak, Tamamlandı, Zaman Aşımı, Devam Ediyor veya Başarısız) bilgilerini ve görev ilerleme yüzdesini görüntüleyebilirsiniz.
-
Bir görev için Details seçeneğine tıklayarak tarama görevinin varlık ayrıntılarını (riske maruz varlık sayısı, risk yolu sayısı, başarıyla taranan varlık sayısı, taranamayan varlık sayısı ve varlık listesi dahil) görüntüleyin.
Duruma, varlık türüne ve riske maruz varlık kimliğine göre belirli varlıkların tarama sonuçlarını filtreleyip görüntüleyebilirsiniz.
Saldırı yolu ayrıntılarını görüntüleme
-
CSPM sayfasında Attack Path sekmesinde saldırı yolu kurallarını tetikleyen saldırı yollarının listesini görüntüleyin. Liste aşağıdaki bilgileri içerir.
Sayfanın üst kısmında acil işlem gerektiren saldırı yolu sayısı ve riske maruz varlık sayısı ile ilgili istatistikler görüntülenir. Saldırı yollarını aciliyet derecesine, yol türüne veya saldırı yolu adına göre filtreleyebilirsiniz. Listenin Actions sütununda Details ve Add to Whitelist işlemleri bulunur.
Uyarı öğesi
Açıklama
Aciliyet
Saldırı yolunun risk düzeyi: Acil (kırmızı), Şüpheli (turuncu) veya Bildirim (gri).
Saldırı yolu adı
Tetiklenen saldırı yolunun adı.
Yol türü
Tetiklenen saldırı yolunun türü: anormal AccessKey çifti, hassas varlık, rol üzerinden yetki yükseltme veya kullanıcı üzerinden yetki yükseltme.
İstila edilen varlık ve hedef varlık
Mevcut saldırı yolunun giriş varlığı ve hedef varlığına ilişkin bilgiler.
Son oluşum zamanı
Mevcut saldırı yolunun son oluşum zamanı. -
Bir saldırı yolunun Actions sütunundaki Details seçeneğine tıklayarak saldırı yolunun temel bilgilerini, saldırı yolu bilgilerini, çözüm önerisini ve saldırı yolu grafiğini görüntüleyin.
Basic Information: aciliyet derecesi, yol türü, ilk tespit zamanı ve son tespit zamanı bilgilerini içerir.
Compromised Assets and Asset Types veya Targeted Asset and Asset Type: istila edilen ve hedef varlıkların örnek kimliklerini ve varlık türlerini görüntüler. Riske maruz varlığın ayrıntılarını görüntülemek üzere bir örnek kimliğine tıklayarak ilgili varlığın Asset Center içindeki ayrıntılar sayfasına gidin.
Attack Path Information: saldırı yolunun tespit mantığını görüntüler.
Solution: saldırı yolunu düzeltmeye yönelik öneriler ve işlem rehberliği sağlar.
-
Attack Path Graph: saldırı yolunda yer alan varlıklar arasındaki ilişkileri görüntüler.
-
İki düğüm arasındaki kırmızı çizgi bir riski gösterir. İlgili düzeltme önerilerini görüntülemek için kırmızı çizgiye tıklayın.
Düzeltme çözümü ayrıntıları sayfasının sol tarafında öneriler görüntülenir. Örneğin sistem, ana bilgisayardaki gereksiz RAM örnek rollerini gözden geçirmenizi ve iptal etmenizi, yalnızca işiniz için gereken rollerin ekli olduğundan emin olmanızı ve
AdministratorAccess,AliyunRAMFullAccessveAliyunECSFullAccessgibi yönetici izinleri eklemekten kaçınmanızı önerir. Bir örnek rolü yetkisiz olarak eklenmişse rolü hemen ayırın ve daha fazla inceleme yapın. İşlem yolu: ECS console adresine gidin, ana bilgisayarın bulunduğu bölgeyi seçin, Instance Details > Other Information > RAM Role yolunu izleyin ve ardından Grant/Revoke RAM Role seçeneğine tıklayın. Sağ tarafta, saldırı topolojisini ele geçirilmiş ana bilgisayardan yüksek ayrıcalıklı bir kullanıcı aracılığıyla ilke ekleme işlemine (ram:AttachPolicyTo...) kadar gösteren ilgili saldırı yolu grafiği görüntülenir. -
Düğümün temel bilgilerini ve ilişkili güvenlik açığı risklerini görüntülemek için bir düğüme tıklayın.
Temel bilgiler Instance Name, Instance ID, Region ve Instance Type gibi alanları içerir. İlişkili güvenlik açığı riskleri, güvenlik açığı adlarını (örneğin
CVE-2024-21626) ve Details işlem girişini gösteren bir tabloda görüntülenir. Sağ taraftaki saldırı yolu grafiği, bir konteyner veya Kubernetes düğümünden güvenlik açığı istismarı ve API erişimi aracılığıyla RAM yetki yükseltmesine kadar olan tam saldırı zincirini bir topoloji halinde gösterir. -
Saldırı yolu grafiğinin sağ üst köşesindeki yardım
simgesine tıklayarak düğüm simgelerini ve anlamlarını görüntüleyin.Düğüm efsanesi aşağıdaki kaynak türlerini içerir: RAM role, RAM user group, policy, AK, API, ECS instance, ECI container, OSS bucket, alert, vulnerability, network service, IP address ve primary account or RAM account.
-
Saldırı yolu grafiğinin sağ üst köşesindeki ayarlar
simgesine tıklayarak saldırı yolu grafiğinin düzenini yapılandırın.Düzen, line stilini (düz çizgi veya çoklu çizgi), distance between nodes (kaydırıcı kullanılarak ayarlanır) ve layout direction (RIGHT, LEFT, DOWN veya UP) seçeneklerini içerir.
Saldırı yolu grafiğinin sağ üst köşesindeki indirme
simgesine tıklayarak saldırı yolu grafiğini dışa aktarın. Hedef varlıklar için saldırı izleme analiz verimliliğini artırmak amacıyla saldırı yolu grafiğini güvenlik yöneticileriyle paylaşabilirsiniz.
-
Saldırı yollarını izin listesine ekleme
Saldırı yolu tarama görevleri tarafından tespit edilen saldırı yollarının yoksayılabileceğinden eminseniz izin listesi özelliğini kullanabilirsiniz.
CSPM sayfasının Attack Path sekmesinde bir saldırı yolunun Actions sütunundaki Add to Whitelist seçeneğine tıklayın.
-
Görüntülenen iletişim kutusunda Whitelist Name için bir değer girin ve izin listesi için geçerli olacak kuralı seçin.
All Assets: Bu mod saldırı yolu kuralları üzerinde etkili olur. İzin listesi kuralı oluşturulduktan sonra eklenen varlıklar uyarı oluşturmaz.
Current Asset: Bu mod yalnızca mevcut saldırı yolunda yer alan istila edilen varlıklar ve hedef varlıklar üzerinde etkili olur.
OK seçeneğine tıklayın.
Eklenen izin listesi bilgilerini Policy Management panelinin Application Whitelist sekmesindeki By Attack Path sekmesinde görüntüleyebilirsiniz.
İlgili belgeler
-
Varlıklarda tespit edilen güvenlik açıklarını işlemek gerekiyorsa aşağıdaki belgelere bakın.
Varlıklarda tespit edilen acil uyarıları işlemek gerekiyorsa bkz. Güvenlik uyarılarını değerlendirme ve işleme.