Enumerando a Nuvem com CloudFox

Aviso Legal: Esta habilidade destina-se apenas a testes de penetração e avaliações autorizadas na nuvem. O CloudFox faz chamadas de API de leitura/descrição contra a conta na nuvem cujas credenciais você fornece. Execute-o APENAS contra contas que você possui ou está autorizado a testar sob um escopo assinado. Embora o CloudFox seja somente leitura por design, a enumeração que ele realiza é reconhecimento contra um ambiente ativo e deve estar dentro do escopo.

Visão Geral

CloudFox é uma ferramenta de linha de comando de código aberto da Bishop Fox que ajuda pentesters e red teamers a obterem consciência situacional em ambientes de nuvem desconhecidos. Onde ferramentas como ScoutSuite focam em auditoria de configuração no estilo do defensor, o CloudFox é construído da perspectiva do atacante: ele responde a perguntas como "quais são os segredos, endpoints e instâncias mais atacáveis nesta conta, e o que a identidade que acabei de comprometer realmente pode alcançar?" É somente leitura — ele apenas realiza chamadas do tipo Describe/List/Get — e grava suas descobertas em arquivos CSV/TXT/loot por comando, além de um diretório de relatório combinado, para que a saída possa ser triada offline.

O CloudFox cobre o AWS mais profundamente (mais de 30 comandos) e suporta o Azure. A ferramenta principal é cloudfox aws all-checks, que executa toda a bateria de comandos de enumeração com padrões sensatos: inventário, endpoints alcançáveis pela internet, instances do EC2 (com IPs e perfis de instância), iam-simulator e permissions para análise de IAM, principals, secrets do Secrets Manager/SSM, buckets, role-trusts (quais identidades podem assumir quais funções — um primitivo central de caminho de ataque), access-keys, route53, ecr, lambda, e mais. O CloudFox também emite sugestões de comandos prontos para execução (por exemplo, linhas aws s3 ls, linhas aws ssm start-session) em seus arquivos "loot", para que um operador possa pivotar imediatamente.

Esta habilidade cobre a instalação do CloudFox, autenticação no AWS e Azure, execução de enumeração direcionada e completa, interpretação das saídas de alto valor (confianças de função, segredos, endpoints) e alimentação dos resultados no planejamento de caminhos de ataque. Fonte: github.com/BishopFox/cloudfox.

Quando Usar

• Estabelecer consciência situacional imediatamente após comprometer credenciais de nuvem
• Identificar rapidamente endpoints expostos à internet, instâncias e segredos expostos
• Mapear relacionamentos de confiança de sts:AssumeRole para planejar movimento lateral / escalonamento de privilégios
• Triar uma conta AWS ou Azure desconhecida durante uma avaliação autorizada
• Produzir artefatos de inventário centrados no atacante que complementam uma auditoria defensiva

Pré-requisitos

• CloudFox instalado:

  # Homebrew
  brew install cloudfox
  # Go (1.21+)
  go install github.com/BishopFox/cloudfox@latest
  # or download a release binary from GitHub and chmod +x
  

• Credenciais válidas da nuvem em escopo:

  # AWS — configure a named profile and verify
  aws configure --profile assess
  aws sts get-caller-identity --profile assess
  
  # Azure
  az login
  az account show
  

• Uma autorização assinada / Regras de Engajamento definindo as contas em escopo
• awscli (AWS) e/ou azure-cli (Azure) instalados para configuração de credenciais e acompanhamento

Objetivos

• Instalar o CloudFox e confirmar credenciais da nuvem
• Executar enumeração completa e direcionada em AWS e Azure
• Identificar endpoints alcançáveis pela internet, instâncias e segredos expostos
• Enumerar princípios de IAM, permissões e caminhos de ataque de confiança de função
• Triar arquivos loot do CloudFox para comandos de pivô imediatos
• Exportar descobertas para um diretório de saída estruturado para relatórios

Mapeamento MITRE ATT&CK

Fluxo de Trabalho

1. Confirmar a identidade e executar todas as verificações AWS

aws sts get-caller-identity --profile assess
cloudfox aws --profile assess all-checks -o ./loot

2. Inventariar a pegada da conta

cloudfox aws --profile assess inventory

…