T1686.001: 云防火墙

摘要

攻击者可能禁用或修改云环境中的防火墙，以绕过限制对云资源访问的控制。 云环境通常利用限制性的安全组和防火墙规则，只允许来自受信任 IP 地址、通过预期端口和协议的网络活动。拥有适当权限的攻击者可能引入新的防火墙规则或策略，以允许进入受害者云环境和/或从云控制平面横向移动到数据平面。 例如，攻击者可能使用脚本或实用程序在现有安全组中创建新的入站规则（或完全创建新的安全组），以允许对云托管实例的任何 TCP/IP 连接。他们也可能移除网络限制，以支持与恶意活动（如加密挖矿）相关的流量。(Citation: Palo Alto Unit 42 Compromised Cloud Compute Credentials 2022)(Citation: Expel AWS)