T1021.008: 直接云 VM 连接

摘要

攻击者可能利用[有效账户](https://attack.mitre.org/techniques/T1078)，通过云原生方法直接登录可访问的云托管计算基础设施。许多云提供商提供对虚拟基础设施的交互式连接，可通过[云 API](https://attack.mitre.org/techniques/T1059/009) 访问，例如 Azure Serial Console(Citation: Azure Serial Console)、AWS EC2 Instance Connect(Citation: EC2 Instance Connect)(Citation: lucr-3: Getting SaaS-y in the cloud) 和 AWS System Manager。(Citation: AWS System Manager)。 这些连接的身份验证方法可能包括密码、应用程序访问令牌或 SSH 密钥。这些云原生方法默认可能允许在主机上以 SYSTEM 或 root 级别访问权限进行特权访问。 攻击者可能利用这些云原生方法直接访问虚拟基础设施并以此横向移动穿越环境。(Citation: SIM Swapping and Abuse of the Microsoft Azure Serial Console) 这些连接通常提供对 VM 的直接控制台访问，而非执行脚本（即[云管理命令](https://attack.mitre.org/techniques/T1651)）。