T1098.005: 设备注册

摘要

攻击者可能将设备注册到由攻击者控制的账户。设备可以注册到处理网络认证的多因素认证(MFA)系统中，或注册到处理设备访问与合规性的设备管理系统中。 诸如 Duo 或 Okta 之类的 MFA 系统允许用户将设备与其账户关联，以满足 MFA 要求。攻陷用户凭证的攻击者可能注册一个新设备，以绕过初始 MFA 要求并获得对网络的持久访问。(Citation: CISA MFA PrintNightmare)(Citation: DarkReading FireEye SolarWinds)在某些情况下，MFA 自助注册过程可能只需要用户名和密码，即可注册账户的第一个设备，或向非活动账户注册设备。(Citation: Mandiant APT29 Microsoft 365 2022) 类似地，已经能够访问网络的攻击者可能向 Entra ID 和/或其设备管理系统 Microsoft Intune 注册设备或虚拟机，以在绕过条件访问策略的同时访问敏感数据或资源。(Citation: AADInternals - Device Registration)(Citation: AADInternals - Conditional Access Bypass)(Citation: Microsoft DEV-0537)(Citation: Expel Atlas Lion 2025) 在 Entra ID 中注册的设备可能能够通过组织内部电子邮件发起 [Internal Spearphishing](https://attack.mitre.org/techniques/T1534) 活动，这些邮件不太可能被电子邮件客户端视为可疑。(Citation: Microsoft - Device Registration)此外，攻击者可能能够通过注册大量设备，对 Entra ID 租户执行 [Service Exhaustion Flood](https://attack.mitre.org/techniques/T1499/002)。(Citation: AADInternals - BPRT)