T1666: 修改云资源层级

摘要

攻击者可能尝试修改基础设施即服务（IaaS）环境中的层级结构，以规避防御。 IaaS 环境通常将资源分组到层级结构中，从而实现更好的资源管理并将策略应用到相关组。层级结构因云提供商而异。例如，在 AWS 环境中，可以将多个账户分组到一个组织下；而在 Azure 环境中，可以将多个订阅分组到一个管理组下。(Citation: AWS Organizations)(Citation: Microsoft Azure Resources) 攻击者可能在 IaaS 层级结构中添加、删除或以其他方式修改资源组。例如，在 Azure 环境中，获得 Global Administrator 账户访问权限的攻击者可能创建新的订阅以在其中部署资源。他们还可能通过将现有的即用即付订阅从受害者租户转移到攻击者控制的租户来进行订阅劫持。这将使攻击者能够使用受害者的计算资源，而不会在受害者租户上产生日志。(Citation: Microsoft Peach Sandstorm 2023)(Citation: Microsoft Subscription Hijacking 2022) 在 AWS 环境中，在给定账户中拥有适当权限的攻击者可能调用 `LeaveOrganization` API，使该账户与其所属的 AWS 组织分离，并移除其原组织对它施加的任何服务控制策略、护栏或限制。或者，攻击者可能调用 `CreateAccount` API 以在 AWS 组织中创建新账户。该账户将使用注册到付款账户的相同付款方式，但可能不受现有检测或服务控制策略的约束。(Citation: AWS re Inforce Trust Mod)