T1555.006: 云机密管理存储

摘要

攻击者可能从云原生机密管理解决方案（如 AWS Secrets Manager、GCP Secret Manager、Azure Key Vault 和 Terraform Vault）获取凭据。 机密管理器支持对密码、API 密钥和其他凭据材料进行安全集中管理。在使用机密管理器的地方，云服务可以通过 API 请求动态获取凭据，而不是访问以明文文件或环境变量不安全存储的机密。 如果攻击者能够在云环境中获得足够的特权——例如，通过获取高特权[云账户](https://attack.mitre.org/techniques/T1078/004)的凭据或入侵有权检索机密的服务——他们可能能够从机密管理器请求机密。这可以通过诸如 AWS 中的 `get-secret-value`、GCP 中的 `gcloud secrets describe` 和 Azure 中的 `az key vault secret show` 等命令完成。(Citation: Permiso Scattered Spider 2023)(Citation: Sysdig ScarletEel 2.0 2023)(Citation: AWS Secrets Manager)(Citation: Google Cloud Secrets)(Citation: Microsoft Azure Key Vault) **注意：**此技术不同于[云实例元数据 API](https://attack.mitre.org/techniques/T1552/005)，因为凭据是直接从云机密管理器请求的，而非通过实例元数据 API 这一媒介。