Cloud Metadata Service Forensics

Définition

Les services de metadonnees d'instances cloud (Instance Metadata Service — IMDS) sont des endpoints HTTP accessibles depuis l'interieur des instances cloud (AWS, Azure, GCP) qui fournissent des informations sur l'environnement d'execution : identite de l'instance, roles IAM attaches, credentials temporaires AWS/Azure, configuration reseau, et scripts de demarrage. L'exploitation de l'IMDS est une technique d'escalade de privileges et d'extraction de credentials courante dans les attaques cloud. L'attaque SSRF (Server-Side Request Forgery) contre l'IMDS AWS permet a un attaquant qui a compromis une application web vulnerable de faire executer des requetes HTTP vers l'adresse IP de l'IMDS (169.254.169.254 pour AWS/Azure, metadata.google.internal pour GCP) depuis le serveur compromis. Si l'instance a un role IAM avec des permissions sensibles, l'attaquant peut recuperer les credentials temporaires AWS depuis l'IMDS et les utiliser pour des actions sur d'autres services AWS (acces S3, creation d'IAM users, etc.). Les artefacts forensiques d'une attaque IMDS incluent : les logs des applications web (acces logs Apache/Nginx) montrant des requetes HTTP vers 169.254.169.254, les logs CloudTrail AWS montrant des appels API depuis les credentials temporaires de l'instance depuis des IPs inhabituelles (l'attaquant a vole les credentials et les utilise depuis son propre systeme), et les logs VPC Flow Logs montrant les connexions sortantes vers l'IMDS depuis l'instance compromise. AWS IMDSv2 (Instance Metadata Service version 2) requiert une session token pre-obtenu via une requete PUT avant toute requete GET, rendant l'exploitation SSRF plus difficile. L'activation d'IMDSv2 obligatoire sur toutes les instances est une mesure de durcissement recommendee qui laisse un artefact de configuration forensiquement verifiable (InstanceMetadataOptions.HttpTokens=required dans la description de l'instance EC2). La forensique IMDS en post-incident implique d'examiner les logs de l'application vulnerable (pour identifier la payload SSRF), les CloudTrail logs (pour les actions effectuees avec les credentials voles), et les evenements IAM (creation de backdoors IAM par l'attaquant avec les permissions temporairement obtenues).