TAC: Hybrid IAM Privilege Escalation Detection
Das Papier präsentiert TAC, ein neuartiges hybrides Framework zur Erkennung von IAM-Privilegieneskalationen für AWS, das einen umfassenden Whitebox-Detektor mit einem innovativen, durch Reinforcement Learning gesteuerten Greybox-Ansatz kombiniert, um auf Berechtigungsflüssen basierende Angriffe unter Wahrung der Datenschutzbeschränkungen der Kunden zu identifizieren.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich das Internet als eine riesige, belebte Stadt vor, in der jedes Gebäude, jede Bank und jeder geheime Tresor von einem digitalen Türsteher geschützt wird. Dieser Türsteher wird Identity and Access Management genannt, oder kurz IAM. Seine Aufgabe ist einfach, aber entscheidend: Er entscheidet, wer durch welche Türen gehen darf. Wenn der Türsteher einen Fehler macht – wie zum Beispiel einem Hausmeister die Schlüssel zum Safe des CEO zu geben oder einem Lieferfahrer das Öffnen des Banktresors zu erlauben – dann ist das eine „Fehlkonfiguration“. In der Welt des Cloud-Computings sind diese Fehler wie eine weit offen stehende Eingangstür für Diebe, was zu Datenverlusten und gestohlenen Geheimnissen führt. Jahrelang haben Sicherheitsexperten Werkzeuge entwickelt, um diese Türsteher zu überprüfen, doch sie standen vor zwei großen Problemen: Ihre Werkzeuge konnten nur einige wenige, spezifische Arten von Fehlern erkennen, und sie verlangten, die gesamte, geheime Liste der Schlüssel und Regeln zu sehen, bevor sie überhaupt mit der Suche beginnen konnten. Das bedeutet, dass viele gefährliche Fehler durch die Maschen schlüpfen und Unternehmen oft zu viel Angst haben, ihre vollständigen Sicherheitspläne an Außenstehende weiterzugeben.
Hier kommt ein neues Team von Forschern ins Spiel, das einen klügeren, flexibleren Sicherheitswächter namens TAC gebaut hat. Stellen Sie sich TAC als einen hybriden Detektiv vor, der in zwei verschiedenen Modi arbeiten kann. Zuerst gibt es TAC-WB, den „Whitebox“-Detektiven. Dieser ist wie ein Meister-Schlüsseldienst, der jeden einzelnen Bauplan, jeden Schlüssel und jede Regel im Gebäude zu Gesicht bekommt. Durch das Studium von über 14.000 verschiedenen Arten, wie Berechtigungen weitergegeben werden können, erstellte TAC-WB einen massiven „Spickzettel“ mit 219 verschiedenen Wegen, auf denen sich ein Dieb heranschleichen könnte. Er nutzt diesen Zettel, um jeden möglichen Pfad nachzuverfolgen, den eine Berechtigung nehmen könnte, um sicherzustellen, dass er jede Art der Privilegien-Eskalation erwischt, selbst die kniffligen, die andere Werkzeuge übersehen.
Aber was, wenn der Gebäudeeigentümer sich weigert, die Baupläne auszuhändigen? Hier kommt TAC-GB, der „Greybox“-Detektiv, ins Spiel. Das ist der wahre Zaubertrick der Arbeit. Anstatt nach die ganze Karte zu verlangen, spielt TAC-GB ein kluges Spiel von „20 Fragen“. Er betrachtet die Teile der Karte, die der Eigentümer bereit ist zu teilen, und stellt dann sehr spezifische, gezielte Fragen wie: „Hat dieser Benutzer diesen speziellen Schlüssel?“ Der Eigentümer kann „Ja“, „Nein“ oder „Das möchte ich lieber nicht sagen“ antworten. TAC-GB ist so clever, dass es eine spezielle Art von künstlicher Intelligenz verwendet (ein Gehirn, das aus Graphen lernt), um genau herauszufinden, welche Fragen die meisten Geheimnisse mit den wenigsten Versuchen enthüllen werden. Es ist wie ein Detektiv, der genau weiß, an welche Tür er klopfen muss, um den Dieb zu finden, anstatt an jeder Tür in der Nachbarschaft zu klopfen.
Die Forscher testeten ihre neuen Detektive gegen einen Berg aus fiktiven und realen Sicherheitsrätseln. Sie bauten einen riesigen Übungsplatz namens TAC-Bench mit 2.500 verschiedenen Szenarien, um sicherzustellen, dass ihre Werkzeuge bereit für den Ernstfall sind. Die Ergebnisse waren beeindruckend: Der Whitebox-Detektiv fand jeden einzelnen Fehler, einschließlich realer Angriffe, die massive Datenlecks verursacht hatten, während ältere Werkzeuge diese nicht entdecken konnten. Überraschenderweise war der Greybox-Detektiv, der nur mit Teilinformationen arbeitete und nur eine Handvoll Fragen stellte, fast so leistungsfähig wie die Werkzeuge, die alles gesehen hatten. Es bewies, dass man nicht das ganze Geheimnis kennen muss, um den Dieb zu fangen; man muss nur die richtigen Fragen stellen. Dieser neue Ansatz bietet Unternehmen eine Möglichkeit, ihre Geheimnisse sicher aufzubewahren und gleichzeitig erstklassige Sicherheitsprüfungen zu erhalten, was das Spiel von „Zeig uns alles oder gar nichts“ zu einer klugen, datenschutzfreundlichen Partnerschaft verändert.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.