AWS - EMR Enum

Reading time: 4 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

EMR

O serviço Elastic MapReduce (EMR) da AWS, a partir da versão 4.8.0, introduziu um recurso de configuração de segurança que melhora a proteção de dados ao permitir que os usuários especifiquem configurações de criptografia para dados em repouso e em trânsito dentro dos clusters EMR, que são grupos escaláveis de instâncias EC2 projetados para processar frameworks de big data como Apache Hadoop e Spark.

As principais características incluem:

  • Criptografia de Cluster Padrão: Por padrão, os dados em repouso dentro de um cluster não são criptografados. No entanto, habilitar a criptografia fornece acesso a vários recursos:
  • Configuração Unificada de Chave Linux: Criptografa volumes de cluster EBS. Os usuários podem optar pelo AWS Key Management Service (KMS) ou um provedor de chave personalizado.
  • Criptografia HDFS de Código Aberto: Oferece duas opções de criptografia para Hadoop:
  • Secure Hadoop RPC (Remote Procedure Call), configurado para privacidade, aproveitando a Simple Authentication Security Layer.
  • Criptografia de transferência de bloco HDFS, configurada como verdadeira, utiliza o algoritmo AES-256.
  • Criptografia em Trânsito: Foca em proteger dados durante a transferência. As opções incluem:
  • Criptografia de Camada de Transporte de Código Aberto (TLS): A criptografia pode ser habilitada escolhendo um provedor de certificado:
  • PEM: Requer a criação manual e a agregação de certificados PEM em um arquivo zip, referenciado de um bucket S3.
  • Personalizado: Envolve adicionar uma classe Java personalizada como um provedor de certificado que fornece artefatos de criptografia.

Uma vez que um provedor de certificado TLS é integrado à configuração de segurança, os seguintes recursos de criptografia específicos da aplicação podem ser ativados, variando com base na versão do EMR:

  • Hadoop:
  • Pode reduzir o embaralhamento criptografado usando TLS.
  • Secure Hadoop RPC com Simple Authentication Security Layer e HDFS Block Transfer com AES-256 são ativados com criptografia em repouso.
  • Presto (versão EMR 5.6.0+):
  • A comunicação interna entre os nós Presto é protegida usando SSL e TLS.
  • Tez Shuffle Handler:
  • Utiliza TLS para criptografia.
  • Spark:
  • Emprega TLS para o protocolo Akka.
  • Usa Simple Authentication Security Layer e 3DES para o Serviço de Transferência de Bloco.
  • O serviço de embaralhamento externo é protegido com a Simple Authentication Security Layer.

Esses recursos, coletivamente, melhoram a postura de segurança dos clusters EMR, especialmente em relação à proteção de dados durante as fases de armazenamento e transmissão.

Enumeração

bash
aws emr list-clusters
aws emr describe-cluster --cluster-id <id>
aws emr list-instances --cluster-id <id>
aws emr list-instance-fleets --cluster-id <id>
aws emr list-steps --cluster-id <id>
aws emr list-notebook-executions
aws emr list-security-configurations
aws emr list-studios #Get studio URLs

Privesc

AWS - EMR Privesc

Referências

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks