O que a atualização de junho de 2026 do Catálogo de Técnicas de Ameaças significa para o seu ambiente AWS

O que é o Catálogo de Técnicas de Ameaças da AWS?

A Equipe de Resposta a Incidentes da AWS (AWS CIRT) acompanha de perto os padrões de ataque que se repetem em diferentes clientes. Para transformar esse conhecimento em algo útil para toda a comunidade, a AWS mantém o Catálogo de Técnicas de Ameaças para AWS (TTC) — uma base de referência pública que documenta técnicas de ataque observadas em ambientes reais, com orientações de mitigação e detecção.

A atualização de junho de 2026 é significativa: cinco novas entradas foram adicionadas e três entradas existentes foram revisadas. O tema central desta edição gira em torno de segurança em plataformas de orquestração de containers, abuso de relacionamentos de confiança organizacional e sequestro de capacidade computacional. A seguir, a CloudTroop explica o que cada mudança significa na prática.

As cinco novas técnicas documentadas

1. Modificação de workloads no EKS

O Amazon Elastic Kubernetes Service (Amazon EKS) oferece grande poder de orquestração — e isso também atrai atacantes. A técnica documentada descreve como agentes maliciosos que obtêm credenciais do Kubernetes ou uma função do Gerenciamento de Identidade e Acesso da AWS (IAM) com permissões no EKS conseguem modificar workloads já em execução. Isso inclui trocar imagens de containers, injetar containers sidecar ou alterar especificações de pods para introduzir código malicioso em um deployment existente.

O ponto crítico aqui é que nada novo é criado: o workload já existe, possivelmente em produção. Ao modificá-lo no lugar, o atacante herda automaticamente os acessos de rede, permissões de conta de serviço e acesso a dados que o workload legítimo já possuía. Sem controladores de admissão ou verificação de imagem, essas alterações podem passar despercebidas por muito tempo.

As mitigações recomendadas incluem: aplicar assinatura de imagens via controladores de admissão, restringir alterações de workloads com Controle de Acesso Baseado em Funções (RBAC) do Kubernetes e habilitar o Amazon GuardDuty EKS Protection para identificar atividades anômalas no cluster. Consulte a entrada completa: EKS Modification – Workload Integrity Degradation.

2. Exploração de aplicações expostas publicamente no EKS

Servidores de API do Kubernetes expostos publicamente e controladores de ingresso mal configurados continuam sendo pontos de entrada explorados com frequência. Esta técnica documenta ataques direcionados às aplicações implantadas pelos próprios clientes no EKS — não ao EKS em si — e sua exposição à internet.

O padrão começa com um serviço exposto e uma vulnerabilidade em nível de aplicação. A partir daí, o atacante pivota do pod comprometido em direção a um acesso mais amplo no cluster. Dentro de um pod, é possível consultar o serviço de metadados da instância, ler tokens de conta de serviço montados ou se mover lateralmente pela rede do cluster.

Limitar a exposição pública do servidor de API do Kubernetes, aplicar políticas de rede para restringir a comunicação entre pods e operar workloads com contas de serviço de menor privilégio reduzem significativamente o risco. Mais detalhes na entrada: Exploit Public-Facing Application.

3. Assumir acesso root em contas-membro da organização

O AWS Organizations centraliza a governança entre contas, e essa confiança flui em uma única direção: da conta de gerenciamento para as contas-membro. A técnica documentada descreve como atacantes que comprometem a conta de gerenciamento — ou obtêm privilégios suficientes dentro dela — utilizam essa posição para assumir acesso root em contas-membro via sts:AssumeRoot.

Como a confiança é inerente à estrutura organizacional, esse movimento pode contornar os controles de acesso configurados pelo administrador da conta-membro. Com acesso root, o atacante pode desabilitar controles de segurança, excluir recursos, alterar configurações de faturamento e estabelecer persistência que sobrevive a remediações focadas em entidades do IAM.

A recomendação é implementar políticas de controle de serviços (SCPs) que restrinjam quais entidades podem chamar sts:AssumeRoot e em quais condições, além de monitorar essas chamadas no AWS CloudTrail. Veja a entrada completa: Assume Root into Organization Member Account.

4. Sequestro de capacidade computacional no EKS

O sequestro de recursos computacionais segue sendo uma das motivações mais comuns por trás de acessos não autorizados, e clusters EKS estão cada vez mais na mira. Atacantes implantam workloads de mineração de criptomoedas ou outras cargas computacionalmente intensivas dentro de clusters comprometidos, consumindo recursos do cliente e gerando custos inesperados.

O que torna o sequestro em EKS especialmente preocupante é a escala: em clusters sem cotas de recursos, uma única conta de serviço comprometida pode consumir toda a capacidade disponível nos nós. Os workloads maliciosos utilizam imagens de aparência legítima obtidas de registries públicos, o que torna a verificação de imagens isolada insuficiente como defesa.

Definir cotas de recursos e limites de intervalo, restringir de quais registries os workloads podem obter imagens e habilitar o Amazon GuardDuty EKS Protection para sinalizar comportamentos de mineração são medidas eficazes. Consulte: Resource Hijacking: Compute Hijacking – EKS.

5. Convite de contas para uma organização desconhecida

Nesta técnica, um atacante com acesso a uma conta standalone — ou a uma conta removida de sua organização legítima — a convida para uma organização sob seu controle. Após a conta ingressar, ela passa a estar sob a governança do atacante.

A partir daí, o atacante pode aplicar SCPs que restringem as ações do proprietário legítimo, obter visibilidade dos recursos da conta por meio de serviços organizacionais e acessar informações de faturamento consolidado. O proprietário legítimo se vê bloqueado de seus próprios controles de governança.

Monitorar os eventos organizations:InviteAccountToOrganization e organizations:AcceptHandshake, além de implementar SCPs que impeçam contas de sair de sua organização legítima, são medidas preventivas importantes. Mais detalhes em: Modify Cloud Resource Hierarchy: Invite Accounts to Unknown Organization.

O que foi atualizado nas entradas existentes

Além das cinco novas entradas, três registros existentes no catálogo foram revisados e aprimorados:

• S3 Object Collection: A entrada agora captura chamadas de API adicionais usadas para staging em massa de dados no Amazon Simple Storage Service (Amazon S3), com orientações de detecção refinadas e mitigações que aproveitam recursos de segurança recentes do S3.
• Compute Hijacking – ECS: Foram adicionados métodos que atacantes utilizam para implantar tasks não autorizadas no Amazon Elastic Container Service (Amazon ECS), incluindo o abuso de roles de execução de tasks com permissões excessivas.
• Role Assumption and Federated Access: A entrada foi expandida para cobrir novas variações de assunção de roles entre contas e manipulação de provedores de identidade, com orientações mais precisas para distinguir acesso federado legítimo de uso não autorizado.

A tendência por trás desta atualização

A atualização de junho de 2026 do Catálogo de Técnicas de Ameaças para AWS reflete uma tendência clara: atacantes estão cada vez mais mirando plataformas de orquestração de containers e explorando relacionamentos de confiança organizacional em seu favor.

As técnicas voltadas a containers mostram que, à medida que as organizações adotam o Kubernetes em escala, a superfície de ataque cresce proporcionalmente. As técnicas organizacionais revelam que atacantes compreendem bem como funciona a cadeia de confiança entre contas AWS.

O fio condutor de todas essas técnicas é importante: cada uma delas opera dentro dos limites de funcionalidades legítimas. Modificar um workload, assumir confiança entre contas e ingressar em uma organização são ações esperadas em ambientes saudáveis. A detecção, portanto, depende inteiramente do contexto: qual entidade executou a ação, em que momento e qual sequência de eventos se seguiu.

É exatamente para isso que o TTC foi criado. A AWS encoraja times de segurança a revisarem as entradas relevantes e avaliarem se o monitoramento atual seria capaz de identificar esses padrões. Alguns pontos de atenção específicos:

• Modificações inesperadas nas especificações de workloads do EKS
• Deployments de pods que utilizam imagens de containers não assinadas
• Chamadas sts:AssumeRoot em contas-membro
• Consumo computacional ilimitado em clusters EKS que poderia ser prevenido com cotas de recursos
• Convites inesperados de organização para suas contas

Cada uma dessas ameaças deixa rastros no AWS CloudTrail e nos logs de auditoria do Kubernetes. O TTC fornece orientações específicas sobre o que monitorar e como responder em cada caso.

Por que acompanhar o TTC?

O Catálogo de Técnicas de Ameaças para AWS existe porque os padrões observados durante engajamentos de segurança não deveriam ficar restritos às equipes internas. Quando técnicas se repetem entre diferentes clientes, documentá-las e disponibilizá-las publicamente é a forma mais eficaz de permitir que times de segurança ajam antes de estarem no meio de um incidente.

Esta atualização de junho adiciona cinco novas entradas e revisa três existentes. O catálogo continuará evoluindo com base no que a equipe da AWS CIRT observa no mundo real ao ajudar clientes a responderem a eventos de segurança. A recomendação é que times de segurança revisem o catálogo, incorporem suas técnicas em exercícios de modelagem de ameaças e o utilizem como vocabulário compartilhado para discutir ameaças específicas da nuvem.

Explore a matriz completa: Catálogo de Técnicas de Ameaças para AWS – Matriz Completa.

Recursos adicionais

• Catálogo de Técnicas de Ameaças para AWS – Matriz Completa
• O que a atualização de março de 2026 do Catálogo de Técnicas de Ameaças significa para o seu ambiente AWS
• Guia de Melhores Práticas de Segurança do Amazon EKS
• Amazon GuardDuty EKS Protection
• AWS Organizations – Gerenciamento centralizado de acesso root
• Políticas de controle de serviços (SCPs)
• AWS CIRT anuncia o lançamento do Catálogo de Técnicas de Ameaças para AWS

Fonte

What the June 2026 Threat Technique Catalog update means for your AWS environment (https://aws.amazon.com/blogs/security/what-the-june-2026-threat-technique-catalog-update-means-for-your-aws-environment/)