T1552.005: 云实例元数据 API

摘要

攻击者可能尝试访问云实例元数据 API 以收集凭据和其他敏感数据。 大多数云服务提供商支持云实例元数据 API，这是一项提供给正在运行的虚拟实例的服务，允许应用程序访问有关正在运行的虚拟实例的信息。可用信息通常包括名称、安全组以及附加元数据，包括凭据和可能包含附加机密的 UserData 脚本等敏感数据。实例元数据 API 是为帮助管理应用程序而提供的便利功能，任何可以访问该实例的人都可以访问。(Citation: AWS Instance Metadata API) 云元数据 API 已至少在一次备受瞩目的事件中被使用。(Citation: Krebs Capital One August 2019) 如果攻击者在正在运行的虚拟实例上存在，他们可能直接查询实例元数据 API 以识别授予对附加资源访问权限的凭据。此外，攻击者可能利用面向公众的 Web 代理中的服务器端请求伪造（SSRF）漏洞，通过向实例元数据 API 发送请求来获取敏感信息。(Citation: RedLock Instance Metadata API 2018) 各云服务提供商事实上的标准是将实例元数据 API 托管在 <code>http[:]//169.254.169.254</code>。