A superfície de ataque de uma infraestrutura AWS é radicalmente diferente de um data center tradicional. Não existem portas de rede abertas para explorar — os vetores de ataque principais estão nas permissões IAM mal configuradas, em buckets S3 expostos, em funções Lambda com variáveis de ambiente inseguras e em roles com escopo excessivo.
O vetor mais crítico: IAM
O Identity and Access Management (IAM) é simultaneamente a maior força e o maior ponto fraco do AWS. Quando bem configurado, é um sistema de controle de acesso granular extremamente poderoso. Na prática, a maioria das organizações acumula políticas excessivamente permissivas ao longo do tempo.
Os padrões de ataque mais comuns contra IAM incluem:
Escalada de privilégios via iam:PassRole: Um usuário com permissão para passar uma role pode se atribuir roles mais poderosas. Técnica documentada no MITRE ATT&CK for Cloud.
Abuse de AssumeRole: Relações de trust mal configuradas entre contas permitem que atacantes assumam roles com mais privilégios.
Credential harvesting de EC2 metadata: O endpoint 169.254.169.254 expõe credenciais temporárias de instance profiles. SSRF em aplicações hospedadas em EC2 é um caminho direto para comprometimento de conta.
S3: o vazamento silencioso
Buckets S3 mal configurados causaram alguns dos maiores vazamentos de dados da história. Em um pentest de AWS, enumeramos todos os buckets acessíveis à conta comprometida e verificamos: políticas de bucket, ACLs de objetos individuais, configuração de Block Public Access e dados sensíveis acessíveis sem autenticação.
Lambda e variáveis de ambiente
Funções Lambda frequentemente contêm segredos em variáveis de ambiente: connection strings de banco de dados, API keys de serviços externos, tokens de autenticação. Um atacante com acesso à função pode extrair esses segredos com uma única chamada de API. Secrets devem ser armazenados no AWS Secrets Manager ou SSM Parameter Store — nunca diretamente em variáveis de ambiente Lambda.
Como conduzimos um AWS Pentest
Um AWS Pentest da Rondo Security segue o framework MITRE ATT&CK for Cloud e cobre enumeração completa de permissões IAM, revisão de políticas de bucket S3, análise de funções Lambda, verificação de EC2 Security Groups e avaliação de configurações de CloudTrail logging.