Resumo Técnico: TAC: Detecção Híbrida de Escalação de Privilégios em IAM

Declaração do Problema

Configurações incorretas de Gerenciamento de Identidade e Acesso (IAM) são um vetor primário para ataques de escalação de privilégios (PE) em ambientes de nuvem, levando a violações de dados e perdas econômicas significativas. As ferramentas de detecção existentes enfrentam duas limitações críticas:

1. Cobertura de PE Limitada: Os detectores atuais (ex: Pacu, PMapper, Cloudsplaining) cobrem apenas um pequeno subconjunto de tipos de PE. Eles frequentemente dependem de catálogos fixos de padrões de ataque conhecidos ou modelam apenas relações de entidades específicas (ex: cadeias de usuário-função), deixando grandes porções da superfície de ataque não detectadas.
2. Requisito de Acesso Total à Configuração: Todos os detectores existentes operam como ferramentas "whitebox", exigindo acesso total à configuração de IAM de uma organização. Isso cria uma barreira para serviços de segurança de terceiros, pois clientes em setores sensíveis (finanças, saúde, governo) muitas vezes não estão dispostos a revelar configurações completas devido a preocupações com privacidade e ao risco de expor detalhes organizacionais sensíveis.

Metodologia

Os autores propõem o TAC, o primeiro framework híbrido que suporta análise tanto whitebox quanto greybox para AWS IAM. A inovação central é uma abstração sistemática da aquisição de permissões como fluxos de permissão (permission flows).

1. Estudo Sistemático e Abstração

Os autores realizaram uma revisão sistemática de mais de 14.000 operações suportadas pela AWS e identificaram cinco categorias distintas de PE:

• Solicitação de Permissão (Permission Request): Solicitar diretamente permissões adicionais (ex: iam:AttachUserPolicy).
• Delegação de Permissão (Permission Delegation): Usar uma entidade como delegada para conceder permissões a outra (ex: cloudformation:UpdateStack).
• Herança de Permissão (Permission Inheritance): Adquirir permissões via associação a grupos ou assunção de funções (roles).
• Execução de Código (Code Execution): Executar código sob um contexto de segurança diferente (ex: lambda:UpdateFunctionCode).
• Tomada de Credenciais (Credential Takeover): Criar ou resetar credenciais para agir como outra entidade (ex: iam:CreateAccessKey).

A partir deste estudo, os autores extraíram manualmente 219 templates de fluxo de permissão que mapeiam pares de tipos de entidade origem-destino às operações que permitem a propagação de permissões.

2. TAC-WB (Detector Whitebox)

O TAC-WB alcança cobertura abrangente ao modelar as configurações de IAM como um Grafo de Fluxo de Permissão (PFG - Permission Flow Graph).

• Construção do Grafo: Nós representam entidades e permissões; arestas representam fluxos de permissão (habilitados ou desabilitados).
• Representação Semântica: O sistema aplica uma análise de ponto fixo específica do domínio para propagar iterativamente as permissões ao longo dos fluxos habilitados até que um estado estável seja alcançado.
• Detecção: Uma PE é reportada apenas se a entidade não confiável puder alcançar a permissão alvo através de uma sequência concreta de propagações. Isso garante precisão por construção, garantindo que cada PE reportada corresponda a um caminho de escalação válido.

3. TAC-GB (Detector Greybox)

O TAC-GB aborda a barreira de privacidade ao operar em configurações parciais, onde os clientes divulgam seletivamente entidades e respondem a consultas sobre atribuições de permissões.

• PFG Parcial: O grafo é estendido para incluir estados de visibilidade (? para desconhecido, + para confirmado, * para fluxo desconhecido, ⊕ para fluxo confirmado).
• Mecanismo de Consulta Interativa: O sistema seleciona dinamicamente consultas (ex: "A permissão $p$ está atribuída à entidade $e$?") com base no estado parcial atual.
• Otimização por Aprendizado por Reforço (RL): Para minimizar a interação do cliente, o TAC-GB emprega um agente de RL com um modelo de consulta de Rede Neural de Grafos (GNN). O agente aprende a selecionar as consultas mais informativas para atingir um estado terminal (detecção de PE) com o menor número de passos.
• Pré-treinamento Offline: Para lidar com o problema de "cold start" e evitar transferência negativa, os modelos GNN são pré-treinados offline em um conjunto diversificado de tarefas de PE, particionadas por tipo de entidade não confiável.

4. TAC-Bench (Dataset de Benchmark)

Para apoiar o treinamento e a avaliação, os autores construíram o TAC-Bench, o primeiro benchmark abrangente de IAM PE.

• Escala: Contém 2.500 tarefas, com média de 137 entidades e 1.282 permissões, aproximando-se da complexidade real de empresas.
• Geração: As tarefas são sintetizadas via um pipeline de três estágios usando LLM (geração de contexto, geração de PE baseada em técnicas documentadas e verificação por Cadeia de Pensamento - CoT) e validadas manualmente para garantir caminhos de escalação válidos.

Principais Contribuições

1. Estudo Sistemático: Identificação de cinco categorias de PE e a revelação de que as ferramentas existentes falham sistematicamente em cobrir grandes porções da superfície de ataque.
2. TAC-WB: Um detector whitebox que alcança 100% de cobertura das cinco categorias de PE via 219 templates de fluxo de permissão e análise de ponto fixo.
3. TAC-GB: O primeiro detector de PE greybox, permitindo a detecção através de configurações parciais por meio de consultas interativas guiadas por RL, mantendo a precisão.
4. TAC-Bench: Um benchmark de larga escala e diverso (2.500 tarefas) projetado para mimetizar configurações incorretas do mundo real, abordando a falta de datasets públicos adequados.

Resultados Experimentais

Experimentos foram conduzidos em benchmarks sintéticos (TAC-Bench), públicos (IAM Vulnerable) e do mundo real (Startup).

• Eficácia Whitebox: O TAC-WB alcançou uma Taxa de Falso Negativo (FNR) de 0% em todos os conjuntos de teste, detectando todas as PEs perdidas pelas ferramentas de última geração (Pacu, Cloudsplangling, PMapper), incluindo escalações de empresas reais onde as ferramentas existentes falharam completamente (100% FNR para as bases de comparação).
• Eficiência Whitebox: O TAC-WB manteve tempos de execução práticos (frequentemente abaixo de 1 segundo), comparáveis ou mais rápidos que a melhor ferramenta de referência (PMapper), apesar de sua cobertura mais ampla.
• Eficácia Greybox: O TAC-GB superou significativamente todas as variantes greybox (seleção aleatória, algoritmos evolucionários, sem pré-treinamento). Sob orçamentos de consulta modestos (ex: 100 consultas), o TAC-GB alcançou uma FNR de 27% em dados sintéticos, rivalizando com bases de comparação whitebox que exigem acesso total. Em tarefas do mundo real, o TAC-GB foi o único detector a identificar com sucesso as PEs.
• Eficiência Greybox: O TAC-GB exigiu uma média de apenas 19 consultas para detectar uma PE, demonstrando alta eficiência de consulta e estabilidade em comparação com as variantes de ablação.

Significância e Alegações

O artigo afirma que o TAC representa uma mudança fundamental na análise de segurança de IAM:

• Cobertura Abrangente: Ao mover-se de correspondência de padrões ad-hoc para uma abstração sistemática de fluxo de permissão, o TAC-WB elimina as lacunas de cobertura inerentes às ferramentas atuais.
• Segurança Preservadora de Privacidade: O TAC-GB demonstra que a detecção de PE de alta fidelidade é possível sem a divulgação total da configuração, transformando a auditoria de segurança de um modelo de divulgação de "tudo ou nada" para um engajamento graduado e preservador de privacidade.
• Arquitetura Neuro-Simbólica: O framework combina com sucesso análise formal (lógica de ponto fixo para soundess/solidez) com otimização baseada em dados (RL/GNN para eficiência), oferecendo um padrão de design reutilizável para ferramentas de engenharia de software que exigem garantias de correção e adaptabilidade.
• Extensibilidade: Embora atualmente focado em AWS IAM, os autores afirmam que a arquitetura é agnóstica à plataforma e pode ser estendida para outros provedores de nuvem (ex: Azure, Google Cloud) e domínios através da extração de novos templates de fluxo de permissão.