ATT&CK v13版本战术介绍——凭证访问（三）

一、引言

在前几期文章中我们介绍了ATT&CK中侦察、资源开发、初始访问、执行、持久化、提权、防御规避战术，本期我们为大家介绍ATT&CK 14项战术中凭证访问战术第13-17种子技术，后续会介绍凭证访问其他子技术，敬请关注。

二、ATT&CK v13简介

MITRE ATT&CK 是一个全球可访问的基于现实世界观察的攻防战术和技术知识库。ATT&CK知识库被用作在私营部门、政府以及网络安全产品和服务社区中开发特定威胁模型和方法的基础。

2023年 4月25日，MITRE ATT&CK 发布了最新版本 V13，最大的变化是为ATT&CK中的一些技术添加了详细的检测指导，用于企业，移动数据源和两种新类型的更改日志（包括一个人类可读的详细更改日志，更具体地显示更新的ATT&CK对象中的更改，以及一个机器可读的JSON更改日志，其格式在ATT&CK的Github中描述）。

ATT&CK for Enterprise v13 包含14个战术、196个技术、411个子技术、138个组织和740个软件。

ATT&CK战术全景图（红框为凭证访问战术）

三、凭证访问战术

3.1 概述

凭证访问包括窃取凭证（如帐户名和密码）的技术。用于获取凭证的技术包括键盘记录或凭证转储，使用合法凭证可以让攻击者访问系统，使其更难检测。

3.2 窃取应用程序访问令牌（T1528 ）

攻击者可以窃取应用程序访问令牌以获取凭证访问远程系统和资源。应用程序访问令牌用于代表用户或服务发出授权的API请求，通常用于访问云和基于容器的应用程序和SaaS中的资源。OAuth是一个常用的框架，它向用户发出令牌以访问系统。在云和容器化环境中窃取帐户API令牌的攻击者使用这些帐户的权限访问数据并执行操作。

在Kubernetes环境中，在容器内运行的进程使用服务帐户令牌与Kubernetes API服务器进行通信。如果容器被破坏，攻击者可能能够窃取容器的令牌，从而获得对Kubernetes API命令的访问权限。

令牌盗窃也可以通过社交工程发生，在这种情况下，可能需要用户操作才能授予访问权限。希望访问基于云的服务或受保护Api的应用程序可以通过各种授权协议使用OAuth2.0获得进入。

攻击者可以通过构建恶意应用程序来利用OAuth授权，该应用程序旨在授予目标用户的oauth令牌对资源的访问权限。攻击者需要在授权服务器上完成其应用程序的注册，然后，他们可以向目标用户发送钓鱼邮件链接，以诱使他们授予对应用程序的访问权限。一旦授予OAuth访问令牌，应用程序就可以通过应用程序访问令牌获得对用户帐户功能的潜在长期访问权限。

3.2.1 缓解措施

ID	缓解措施	描述
M1047	审计	管理员应审核所有云和容器帐户，以确保它们是必要的，并且授予它们的权限是适当的。 对所有OAuth应用程序及其授予的访问组织数据的权限执行审核。 调查并删除可疑的应用程序。
M1021	限制基于Web的内容	管理员可以阻止最终用户同意OAuth应用程序，禁止用户通过OAuth2.0授权第三方应用程序，并强制对所有请求进行管理同意。阻止最终用户注册其用户的应用程序，以减少风险。 云访问安全代理也可用于禁止应用程序。
M1018	用户账户管理	实施基于角色的访问控制，将帐户限制为所需的最低权限。
M1017	用户培训	通过培训强化未知的第三方应用程序授权控制。 用户应该特别注意重定向URL：如果URL是与预期服务或SaaS应用程序相关的拼写错误或令人费解的单词序列，则网站可能试图欺骗合法服务。用户还应该谨慎对待他们授予应用程序的权限。

3.2.2 检测

ID	数据源	数据组件	检测
DS0002	用户账号	用户账号修改	管理员应设置监控以在满足用户账号修改策略条件时触发自动告警，管理员可以设置各种日志并利用审核工具来监控由于OAuth2.0访问而可以执行的操作。例如，审核报告使管理员能够识别权限升级操作，例如角色创建或策略修改，这些操作可以是在初始访问后执行的操作。

3.3 窃取或伪造认证证书（T1649）

攻击者可能会窃取或伪造用于身份验证的证书以访问远程系统或资源。数字证书通常用于对消息或文件进行签名和加密。

身份验证证书既可以被盗，也可以被伪造。例如，AD CS证书可以从加密存储、不安全的凭证或通过各种加密Api直接从Windows证书存储中窃取。通过适当的注册权限，域内的用户或计算机还可以向企业证书颁发机构(CA)请求或手动续订证书。此注册过程定义与证书关联的各种设置和权限。证书的扩展密钥用法(EKU)值定义签名、加密和身份验证用例，证书的使用者备用名称(SAN)值定义证书所有者的备用名称。

有权访问根CA证书私钥的攻击者也可以通过为受害域伪造任意身份验证证书来建立持久性。攻击者也可能以证书和相关服务为目标，以便访问其他形式的凭证。

3.3.1 缓解措施

ID