El AWS Security Token Service (STS) es un servicio web que proporciona tokens de acceso a corto plazo a usuarios de AWS y usuarios federados. Los actores de amenazas pueden aprovecharse del STS para acceder a cuentas en la nube y realizar actividades maliciosas.
Funcionamiento del AWS Security Token Service
Los tokens generados por el AWS STS pueden tener una validez que varía entre 15 minutos y 36 horas. Los adversarios suelen robar tokens de Identidad y Acceso a la Gestión (IAM) a largo plazo mediante tácticas como infecciones por malware, credenciales expuestas o ataques de phishing.
Uso de los tokens por actores maliciosos
Los atacantes pueden utilizar los tokens para determinar roles y privilegios asociados mediante llamadas a la Interfaz de Programación de Aplicaciones (API). Los adversarios pueden hacerse pasar por identidades legítimas en entornos de nube mediante el uso de tokens generados por AWS STS.
Riesgos derivados del uso indebido
Una vez obtenidos estos tokens, los atacantes pueden utilizarlos para crear nuevos tokens temporales autenticados por Autenticación Multifactor (MFA). Los tokens permiten a los usuarios acceder temporalmente a recursos con privilegios limitados, sin necesidad de crear una identidad de AWS.
Riesgos asociados
Los actores maliciosos pueden infiltrarse en entornos de cloud mediante el uso del AWS STS. El robo de tokens IAM a largo plazo puede permitir actividades maliciosas. La creación de nuevos tokens temporales autenticados por MFA puede ser empleada en acciones maliciosas.
Medidas para mitigar los riesgos
Registrar datos de eventos de CloudTrail. Detectar eventos de encadenamiento de roles y abuso de MFA. Rotar las claves de acceso de usuarios de IAM a largo plazo.