T1069.003: 云组

摘要

攻击者可能尝试查找云组和权限设置。了解云权限组可以帮助攻击者确定环境中用户和组的特定角色，以及哪些用户与特定组相关联。 在具有经过身份验证的访问权限的情况下，有几种工具可用于查找权限组。<code>Get-MsolRole</code> PowerShell cmdlet 可用于获取 Exchange 和 Office 365 账户的角色和权限组。(Citation: Microsoft Msolrole)(Citation: GitHub Raindance) Azure CLI (AZ CLI) 和 Google Cloud Identity Provider API 也提供获取权限组的接口。对于 Azure，命令 <code>az ad user get-member-groups</code> 将列出与用户账户关联的组；对于 Google，API 端点 <code>GET https://cloudidentity.googleapis.com/v1/groups</code> 列出可供用户使用的组资源。(Citation: Microsoft AZ CLI)(Citation: Black Hills Red Teaming MS AD Azure, 2018)(Citation: Google Cloud Identity API Documentation)在 AWS 中，命令 `ListRolePolicies` 和 `ListAttachedRolePolicies` 允许用户枚举附加到某个角色的策略。(Citation: Palo Alto Unit 42 Compromised Cloud Compute Credentials 2022) 攻击者可能尝试列出对象的 ACL 以确定所有者和其他有权访问该对象的账户，例如通过 AWS 的 <code>GetBucketAcl</code> API(Citation: AWS Get Bucket ACL)。使用此信息，攻击者可以针对具有给定对象权限的账户，或利用他们已攻陷的账户来访问该对象。