23、绕过 AWS GuardDuty 检测的实用策略

绕过 AWS GuardDuty 检测的实用策略

1. 引言

在 AWS 环境中进行渗透测试或攻击时，GuardDuty 作为一款强大的威胁检测服务，会对各种异常活动进行监控和预警。本文将深入探讨如何绕过 GuardDuty 的各类检测，以确保攻击行动的隐蔽性。

2. 更新可信 IP 列表

在不删除已有白名单 IP 的情况下，将自己的 IP 地址添加到可信 IP 列表中，这样不会引起环境的异常，避免被发现。作为负责任且聪明的攻击者，在 AWS 渗透测试结束时，需要恢复原始的白名单。具体操作是保存最初与可信 IP 列表关联的 URL，最后使用 UpdateIPSet API 将其恢复到该 URL。这样，在测试期间我们的 IP 会被 GuardDuty 列入白名单，测试结束后环境资源不会有明显改动。

需要注意的是，如果目标账户的 GuardDuty 由外部主账户控制，我们将无法修改可信 IP 列表设置，只有主账户在管理 GuardDuty 跨账户时才能进行此操作。当主账户上传可信 IP 列表时，该列表会应用到所有属于该主账户的 GuardDuty 成员，这对于攻破 GuardDuty 主账户的攻击者来说是个好机会。

3. 绕过 EC2 实例凭证泄露警报

3.1 警报触发机制

GuardDuty 的 UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration 警报会在通过实例启动角色为 EC2 实例专门创建的凭证被外部 IP 使用时触发。在渗透测试中，常见的获取这些凭证的方法是在附有 IAM 实例配置文件的 EC2 实例上实施服务器端请求伪