T1059.009: 云 API

摘要

攻击者可能滥用云 API 执行恶意命令。云环境中可用的 API 提供各种功能，是几乎可以编程访问租户各个方面的一种功能丰富的方式。这些 API 可通过多种方式使用，例如命令行解释器(CLI)、浏览器内 Cloud Shell、[PowerShell](https://attack.mitre.org/techniques/T1059/001) 模块(如 Azure for PowerShell)(Citation: Microsoft - Azure PowerShell)，或适用于 [Python](https://attack.mitre.org/techniques/T1059/006) 等语言的软件开发工具包(SDK)。 云 API 功能可能允许对租户中所有主要服务进行管理访问，例如计算、存储、身份和访问管理(IAM)、网络和安全策略。 在具有适当权限的情况下(通常通过使用诸如 [Application Access Token](https://attack.mitre.org/techniques/T1550/001) 和 [Web Session Cookie](https://attack.mitre.org/techniques/T1550/004) 之类的凭证)，攻击者可能滥用云 API 调用执行恶意操作的各种函数。例如，CLI 和 PowerShell 功能可以通过安装在云托管或本地主机上的二进制文件访问，或通过许多云平台(如 AWS、Azure 和 GCP)提供的基于浏览器的云 shell 访问。这些云 shell 通常是打包的统一环境，用于使用作为容器托管在云环境中的 CLI 和/或脚本模块。