T1606.002: SAML 令牌

摘要

如果攻击者拥有有效的 SAML 令牌签名证书，他们可以伪造具有任意权限声明和有效期的 SAML 令牌。(Citation: Microsoft SolarWinds Steps) SAML 令牌的默认有效期为 1 小时，但可以在令牌中 <code>conditions ...</code> 元素的 <code>NotOnOrAfter</code> 值中指定有效期。<code>LifetimeTokenPolicy</code> 中的 <code>AccessTokenLifetime</code> 可用于更改此值。(Citation: Microsoft SAML Token Lifetimes) 伪造的 SAML 令牌使攻击者能够在使用 SAML 2.0 作为 SSO（单点登录）机制的服务之间进行身份验证。(Citation: Cyberark Golden SAML) 攻击者可能利用[私钥](https://attack.mitre.org/techniques/T1552/004)攻陷组织的令牌签名证书，以创建伪造的 SAML 令牌。如果攻击者拥有足够的权限，可与其自己的 Active Directory 联合身份验证服务（AD FS）服务器建立新的联合信任，那么他们也可以改为生成自己受信任的令牌签名证书。(Citation: Microsoft SolarWinds Customer Guidance) 这不同于[窃取应用程序访问令牌](https://attack.mitre.org/techniques/T1528)和其他类似行为，因为令牌是新的，由攻击者伪造，而不是从合法用户处窃取或截获。 如果伪造的 SAML 令牌声称代表一个高权限账户，攻击者可能获得 Entra ID 的管理权限。这可能导致[使用备用身份验证材料](https://attack.mitre.org/techniques/T1550)，从而可能绕过多因素和其他身份验证保护机制。(Citation: Microsoft SolarWinds Customer Guidance)