T1098.006: 额外的容器集群角色

摘要

攻击者可能向由攻击者控制的用户或服务账户添加额外的角色或权限，以维持对容器编排系统的持久访问。例如，拥有足够权限的攻击者可能创建 RoleBinding 或 ClusterRoleBinding，将 Role 或 ClusterRole 绑定到某个 Kubernetes 账户。(Citation: Kubernetes RBAC)(Citation: Aquasec Kubernetes Attack 2023)在使用基于属性的访问控制(ABAC)的情况下，拥有足够权限的攻击者可能修改 Kubernetes ABAC 策略，以向目标账户授予额外权限。(Citation: Kuberentes ABAC) 这种账户修改可能紧随 [Create Account](https://attack.mitre.org/techniques/T1136) 或其他恶意账户活动之后发生。攻击者还可能修改其已攻陷的现有 [Valid Accounts](https://attack.mitre.org/techniques/T1078)。 请注意，当容器编排系统部署在云环境中时，如 Google Kubernetes Engine、Amazon Elastic Kubernetes Service 和 Azure Kubernetes Service，基于云的基于角色的访问控制(RBAC)分配或 ABAC 策略通常可以用来替代或补充本地权限分配。(Citation: Google Cloud Kubernetes IAM)(Citation: AWS EKS IAM Roles for Service Accounts)(Citation: Microsoft Azure Kubernetes Service Service Accounts)在这些情况下，此技术可能与 [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003) 结合使用。