Los equipos de seguridad en la nube suelen utilizar herramientas de Gestión de la Postura de Seguridad en la Nube (CSPM) y Plataformas de Protección de Aplicaciones Nativas de la Nube (CNAPP) para identificar configuraciones riesgosas.

Sin embargo, una nueva investigación de Aryon Security revela que este enfoque puede pasar por alto una clase significativa de amenazas: recursos temporales de AWS que quedan expuestos públicamente pero son eliminados antes de que ocurra el siguiente escaneo.

Aryon se refiere a esta brecha de visibilidad como “ShutterGap”. Esto sucede cuando un recurso de la nube se hace público por un breve periodo, que a veces dura solo unos pocos minutos.

Los atacantes pueden monitorear continuamente los recursos públicos de AWS, descubrir rápidamente instantáneas (snapshots) recién expuestas y copiarlas en sus propias cuentas de la nube antes de que tú o tu equipo de defensa puedan responder.

ShutterGap expone recursos de AWS

Este problema no surge de una vulnerabilidad de AWS, sino que es el resultado de errores de configuración del cliente relacionados con las funciones de uso compartido público de AWS. AWS recomienda a los clientes no almacenar datos sensibles en recursos compartidos públicamente. No obstante, Aryon descubrió que las exposiciones en el mundo real siguen ocurriendo con frecuencia.

Los investigadores monitorearon varios tipos de recursos de AWS que admiten el uso compartido público, incluyendo instantáneas de Amazon DocumentDB, Imágenes de Máquina de Amazon y documentos de AWS Systems Manager. Su análisis reveló un flujo constante de recursos que aparecían y desaparecían de los listados públicos.

En un caso, el número de instantáneas de RDS disponibles públicamente en la región us-east-1 cambió 12 veces en 90 minutos; seis instantáneas aparecieron y seis fueron eliminadas.

Esta actividad sugiere que las organizaciones podrían exponer recursos inadvertidamente por un breve periodo durante la creación, prueba o modificación de la infraestructura de la nube. Aryon descubrió que el 20% de las instantáneas de RDS compartidas públicamente estuvieron visibles durante menos de dos minutos.

Además, el 99% de las instantáneas de RDS y DocumentDB eliminadas desaparecieron a los 30 minutos de su creación. Estas ventanas de exposición son significativamente más cortas que los ciclos de escaneo diario utilizados por muchas plataformas CSPM.

Un atacante no necesita descargar una base de datos completa durante el periodo de exposición. Puede iniciar una copia de la instantánea a otra cuenta de AWS mientras el recurso sea accesible públicamente.

Una vez completada la copia, el atacante puede restaurar y examinar la base de datos más tarde, incluso si el propietario original revoca rápidamente el acceso público. Los investigadores analizaron una pequeña muestra de 24 instantáneas de RDS compartidas públicamente y encontraron información significativa en las bases de datos restauradas.

Los datos incluían identificadores de cuentas de AWS, direcciones de correo electrónico, posibles secretos, patrones relacionados con claves privadas e indicadores de datos financieros. Aryon detuvo la extracción de datos tras confirmar que las instantáneas públicas podían contener información empresarial valiosa.

El informe enfatiza que la detección por sí sola no puede mitigar las exposiciones que los atacantes pueden explotar en cuestión de segundos. Una alerta de seguridad generada horas después tiene poco valor si la instantánea ya ha sido copiada. Aryon recomienda implementar controles preventivos de AWS, particularmente las Políticas de Control de Servicios (SCPs).

Tú y tu organización pueden bloquear los cambios en los atributos de uso compartido de instantáneas, requerir cifrado para nuevas instancias de RDS, mantener el bloqueo sobre el uso compartido público de Imágenes de Máquina de Amazon (AMIs) y activar protecciones para evitar el uso compartido público de documentos de SSM.

Los equipos de seguridad también deberían revisar los registros de AWS CloudTrail en busca de eventos de uso compartido público, incluyendo acciones como RDS ModifyDBSnapshotAttribute, EC2 ModifyImageAttribute y SSM ModifyDocumentPermission.

Esta investigación refuerza una lección fundamental en la seguridad de la nube: cuando una configuración puede ser explotada instantáneamente, la prevención debe primar sobre la detección.