T1580: 云基础设施发现

摘要

攻击者可能试图发现基础设施即服务（IaaS）环境中可用的基础设施和资源。这包括计算服务资源，例如实例、虚拟机和快照，以及其他服务的资源，包括存储和数据库服务。 云提供商提供诸如 API 和通过 CLI 发出的命令等方法来提供关于基础设施的信息。例如，AWS 在 Amazon EC2 API 中提供 <code>DescribeInstances</code> API，可以返回账户内一个或多个实例的信息；<code>ListBuckets</code> API 返回请求的已认证发送方所拥有的所有存储桶的列表；<code>HeadBucket</code> API 用于确定存储桶是否存在以及请求发送方的访问权限；<code>GetPublicAccessBlock</code> API 用于检索存储桶的访问阻止配置。(Citation: Amazon Describe Instance)(Citation: Amazon Describe Instances API)(Citation: AWS Get Public Access Block)(Citation: AWS Head Bucket) 类似地，GCP 的 Cloud SDK CLI 提供 <code>gcloud compute instances list</code> 命令来列出项目中的所有 Google Compute Engine 实例 (Citation: Google Compute Instances)，Azure 的 CLI 命令 <code>az vm list</code> 列出虚拟机的详细信息。(Citation: Microsoft AZ CLI) 除了 API 命令之外，攻击者还可以利用开源工具通过[字典扫描](https://attack.mitre.org/techniques/T1595/003)发现云存储基础设施。(Citation: Malwarebytes OSINT Leaky Buckets - Hioureas) 攻击者可能使用受陷用户的访问密钥枚举资源，以确定该用户可用的资源。(Citation: Expel IO Evil in AWS) 发现这些可用资源可能帮助攻击者确定其在云环境中的下一步行动，例如建立持久化。(Citation: Mandiant M-Trends 2020) 攻击者还可能使用此信息更改配置，使存储桶可公开访问，从而允许在未经身份验证的情况下访问数据。攻击者还可能使用 <code>DescribeDBInstances</code> 等基础设施发现 API 来确定数据库资源的规模、所有者、权限和网络 ACL。(Citation: AWS Describe DB Instances) 攻击者可以使用此信息确定数据库的潜在价值并发现访问它们的要求。与[云服务发现](https://attack.mitre.org/techniques/T1526)不同，此技术侧重于发现所提供服务的组件，而不是服务本身。