T1556.006: 多因素身份验证

摘要

攻击者可能禁用或修改多因素身份验证（MFA）机制，以启用对受感染账户的持久性访问。 一旦攻击者通过入侵缺少 MFA 的账户或采用诸如[多因素身份验证请求生成](https://attack.mitre.org/techniques/T1621)之类的 MFA 绕过方法获得了对网络的访问权限，攻击者可能利用其访问权限来修改或完全禁用 MFA 防御。这可以通过滥用合法功能来实现，例如将用户排除在 Azure AD 条件访问策略之外、注册新的但存在漏洞/攻击者控制的 MFA 方法，或手动修补 MFA 程序和配置文件以绕过预期功能。(Citation: Mandiant APT42)(Citation: Azure AD Conditional Access Exclusions) 例如，修改 Windows hosts 文件（`C:\windows\system32\drivers\etc\hosts`）以将 MFA 调用重定向到本地主机而非 MFA 服务器，可能导致 MFA 过程失败。如果存在“故障开放”（fail open）策略，任何原本成功的身份验证尝试都可能在不强制执行 MFA 的情况下被授予访问权限。(Citation: Russians Exploit Default MFA Protocol - CISA March 2022) 根据攻击者的范围、目标和权限，可能为单个账户或与更大组关联的所有账户（例如受害者网络环境中的所有域账户）禁用 MFA 防御。(Citation: Russians Exploit Default MFA Protocol - CISA March 2022)