T1021.007: 云服务

摘要

攻击者可能使用与本地用户身份同步或联合的[有效账户](https://attack.mitre.org/techniques/T1078)，登录被入侵环境中可访问的云服务。随后攻击者可以以已登录用户的身份执行管理操作或访问云托管资源。 许多企业将集中管理的用户身份联合到云服务，允许用户使用其域凭据登录以访问云控制平面。类似地，攻击者可能通过 Web 控制台或云命令行界面（CLI）（例如[云 API](https://attack.mitre.org/techniques/T1059/009)）连接到可用的云服务，使用诸如 Azure PowerShell 的 <code>Connect-AZAccount</code>、Microsoft Graph PowerShell 的 <code>Connect-MgGraph</code> 以及 Google Cloud CLI 的 <code>gcloud auth login</code> 等命令。 在某些情况下，攻击者可能能够通过[应用程序访问令牌](https://attack.mitre.org/techniques/T1550/001)而非用户名和密码向这些服务进行身份验证。