T1087.004: 云账户

摘要

攻击者可能尝试获取云账户的列表。云账户是组织创建和配置用于用户在云服务提供商或 SaaS 应用程序内进行用户、远程支持、服务或资源管理用途的账户。 在具有经过身份验证的访问权限的情况下，有几种工具可用于查找账户。<code>Get-MsolRoleMember</code> PowerShell cmdlet 可用于在 Office 365 中根据角色或权限组获取账户名称。(Citation: Microsoft msolrolemember)(Citation: GitHub Raindance)Azure CLI (AZ CLI) 也提供接口来获取具有对域经过身份验证访问权限的用户账户。命令 <code>az ad user list</code> 将列出域内的所有用户。(Citation: Microsoft AZ CLI)(Citation: Black Hills Red Teaming MS AD Azure, 2018) AWS 命令 <code>aws iam list-users</code> 可用于获取当前账户中的用户列表，而 <code>aws iam list-roles</code> 可以获取具有指定路径前缀的 IAM 角色。(Citation: AWS List Roles)(Citation: AWS List Users)在 GCP 中，<code>gcloud iam service-accounts list</code> 和 <code>gcloud projects get-iam-policy</code> 可用于获取项目中服务账户和用户的列表。(Citation: Google Cloud - IAM Servie Accounts List API)