Laboratorio de escalada de privilegios en IAM
Encuentra la cadena de escalada de IAM en una cola de permisos de la nube y elige la corrección: cadenas encontradas frente a falsos positivos.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
El permiso que entrega la cuenta a un atacante rara vez parece peligroso por sí solo: es un iam:PassRole junto a la creación de cómputo, un CreatePolicyVersion sobre una política asociada a ti, un UpdateAssumeRolePolicy sobre un rol que después puedes asumir. Trabajas una cola de unos 20 permisos de IAM en la nube, lees cada uno frente al contexto de la cuenta y decides: bien acotado, o el inicio de una cadena de escalada de privilegios. Los saltos sembrados en la cola son primitivas reales y documentadas de AWS IAM: iam:PassRole hacia Lambda, EC2 o CloudFormation, CreatePolicyVersion y SetDefaultPolicyVersion, asociar una política administrada de administrador, añadir una política inline de administrador, sts:AssumeRole hacia un rol con más privilegios, reescrituras de la confianza con UpdateAssumeRolePolicy, toma de claves de acceso o del perfil de inicio de sesión, y AddUserToGroup. En cada permiso que señalas como salto eliges además la remediación que de verdad rompe la cadena: acotar el PassRole, denegar la escritura de versiones de política, endurecer la confianza del rol de destino, denegar las reescrituras de confianza, etc. Se te puntúa por las cadenas encontradas con la primitiva y la corrección correctas, frente a los falsos positivos: señalar un permiso bien acotado (un PassRole fijado, un assume de solo lectura) lleva una penalización extra. Los niveles de dificultad añaden cadenas más sutiles y trampas deliberadas. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Lee cada permiso de IAM (acciones, recurso, condición, cómo está asociado) junto con el contexto de la cuenta.
- Decide si está bien acotado o si es un salto de escalada de privilegios.
- Si es un salto, nombra la primitiva exacta y elige la remediación que rompe la cadena.
- Revisa las cadenas encontradas frente a los falsos positivos.
Preguntas frecuentes
¿Qué es el laboratorio de escalada de privilegios en IAM?
Un ejercicio en el navegador en el que trabajas una cola de permisos de IAM en la nube (las acciones, el recurso, cualquier condición y cómo está asociada la declaración, más el contexto de la cuenta: qué roles son de administrador, qué permite una política de confianza, qué política está asociada a quién) y decides si cada permiso está bien acotado o es un salto de escalada de privilegios. Cuando es un salto, también nombras la primitiva exacta (por ejemplo, iam:PassRole hacia un rol de cómputo privilegiado, o iam:CreatePolicyVersion sobre una política asociada a ti mismo) y eliges la remediación que rompe la cadena. Se centra específicamente en la escalada basada en identidad, no en configuraciones incorrectas genéricas de la nube.
¿Cómo se puntúa?
Cada permiso tiene un veredicto correcto y, cuando es un salto, una remediación que de verdad rompe la cadena. Un salto solo cuenta como detectado cuando nombras la primitiva correcta y eliges la corrección correcta. Una identificación correcta con la corrección equivocada tiene una penalización leve; un falso positivo (señalar un permiso bien acotado) lleva una penalización de higiene mayor, porque un informe que da falsas alarmas sobre permisos limpios es tan inútil como uno que pasa por alto una escalada real. Una partida perfecta acierta todos los permisos, incluidos los seguros.
¿Toca una cuenta de AWS real?
No. Nada se conecta a AWS y no se lee ninguna política real. Los permisos son instantáneas de campos realistas, escritas a mano e incluidas en la página, con su contexto de cuenta redactado, y cada veredicto se evalúa frente a una solución fija, así que la cola es determinista. Funciona íntegramente en tu navegador: sin instalación y sin enviar nada a ninguna parte.
¿Para quién es?
Para ingenieros de nube y de plataforma, equipos de seguridad que revisan IAM, red y blue teamers y cualquiera que prepare una entrevista de seguridad en la nube o de infraestructura y quiera entender por qué un iam:PassRole sin acotar junto a la creación de cómputo, un CreatePolicyVersion sobre tu propia política asociada o un UpdateAssumeRolePolicy sobre un rol que después puedes asumir son un camino hacia el administrador de la cuenta, y por qué un PassRole fijado a un único rol de pocos privilegios, o un assume entre cuentas hacia un rol de solo lectura, no lo son.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.