T1136.003: 云账户

摘要

攻击者可能创建云账户以维持对受害者系统的访问。在拥有足够访问级别的情况下，此类账户可用于建立辅助的凭据访问，而无需在系统上部署持久的远程访问工具。(Citation: Microsoft O365 Admin Roles)(Citation: Microsoft Support O365 Add Another Admin, October 2019)(Citation: AWS Create IAM User)(Citation: GCP Create Cloud Identity Users)(Citation: Microsoft Azure AD Users) 除用户账户外，云账户还可以与服务关联。云提供商以不同方式处理服务账户的概念。在 Azure 中，服务账户包括服务主体(service principal)和托管标识(managed identity)，它们可以链接到各种资源(如 OAuth 应用程序、无服务器函数和虚拟机)，以授予这些资源在环境中执行各种活动的权限。(Citation: Microsoft Entra ID Service Principals)在 GCP 中，服务账户也可以链接到特定资源，并且可以被其他账户模拟以实现 [Temporary Elevated Cloud Access](https://attack.mitre.org/techniques/T1548/005)。(Citation: GCP Service Accounts)虽然 AWS 没有特定的服务账户概念，但可以直接授予资源承担角色的权限。(Citation: AWS Instance Profiles)(Citation: AWS Lambda Execution Role) 攻击者可能创建只能访问特定云服务的账户，这可以降低被检测的可能性。 一旦攻击者创建了云账户，他们随后就可以操纵该账户以确保持久化并允许访问额外的资源——例如，通过添加 [Additional Cloud Credentials](https://attack.mitre.org/techniques/T1098/001) 或分配 [Additional Cloud Roles](https://attack.mitre.org/techniques/T1098/003)。