T1078: 有效账户

摘要

攻击者可能获取并滥用现有账户的凭证，作为获得初始访问、持久化、权限提升或防御规避的手段。受感染的凭证可用于绕过放置在网络内系统各种资源上的访问控制，甚至可用于对远程系统和对外可用服务(如 VPN、Outlook Web Access、网络设备和远程桌面)的持久访问。(Citation: volexity_0day_sophos_FW)受感染的凭证还可能授予攻击者对特定系统的更高权限或对网络受限区域的访问。攻击者可能选择不将恶意软件或工具与这些凭证提供的合法访问结合使用，以使检测其存在变得更加困难。 在某些情况下，攻击者可能滥用不活跃的账户：例如属于不再属于组织的人员的账户。使用这些账户可能使攻击者能够规避检测，因为原始账户用户不会出现来识别其账户上发生的任何异常活动。(Citation: CISA MFA PrintNightmare) 跨系统网络的本地、域和云账户权限的重叠值得关注，因为攻击者可能能够跨账户和系统枢轴转移以达到高访问级别(即域管理员或企业管理员)，从而绕过企业内设置的访问控制。(Citation: TechNet Credential Theft)