T1078.004: 云账户

摘要

云环境中的有效账户可能使攻击者执行操作以实现初始访问、持久化、权限提升或防御规避。云账户是组织创建和配置用于用户在云服务提供商或 SaaS 应用程序内进行用户、远程支持、服务或资源管理用途的账户。云账户可以仅存在于云中；或者，它们可以通过同步或与其他身份源(如 Windows Active Directory)联合，在本地系统与云之间混合加入。(Citation: AWS Identity Federation)(Citation: Google Federating GC)(Citation: Microsoft Deploying AD Federation) 服务账户或用户账户可能成为攻击者的目标，通过 [Brute Force](https://attack.mitre.org/techniques/T1110)、[Phishing](https://attack.mitre.org/techniques/T1566) 或各种其他手段来获得对环境的访问。联合或同步的账户可能是攻击者影响本地系统和云环境的途径——例如，通过利用共享凭证登录到 [Remote Services](https://attack.mitre.org/techniques/T1021)。高权限云账户，无论是联合的、同步的还是仅云端的，也可能允许通过利用基于 SaaS 的 [Software Deployment Tools](https://attack.mitre.org/techniques/T1072) 在混合加入的设备上运行命令来枢轴转移到本地环境。 攻击者可能在受感染的云账户上创建长效的 [Additional Cloud Credentials](https://attack.mitre.org/techniques/T1098/001)，以维持其在环境中的持久化。此类凭证还可能被用于绕过诸如多因素身份验证之类的安全控制。 云账户还可能能够在环境中通过各种方式承担 [Temporary Elevated Cloud Access](https://attack.mitre.org/techniques/T1548/005) 或其他权限。角色分配或角色承担策略中的错误配置可能使攻击者能够使用这些机制来利用超出账户预期范围的权限。此类过度特权的账户可能被用于通过 [Cloud API](https://attack.mitre.org/techniques/T1059/009) 或其他方法从在线存储账户和数据库中收集敏感数据。例如，在 Azure 环境中，攻击者可能针对 Azure Managed Identities，它允许关联的 Azure 资源请求访问令牌。通过攻陷附有托管标识的资源(如 Azure VM)，攻击者可能能够 [Steal Application Access Token](https://attack.mitre.org/techniques/T1528) 以在云环境中横向移动。(Citation: SpecterOps Managed Identity 2022)