T1484: 域或租户策略修改

摘要

攻击者可能修改域或身份租户的配置设置，以在集中管理的环境中逃避防御和/或提升权限。此类服务提供管理身份资源（如设备和账户）的集中方式，并通常包含可能应用于域或租户之间的配置设置，例如信任关系、身份同步或身份联合。 对域或租户设置的修改可能包括更改 Microsoft Active Directory (AD) 中的域组策略对象 (GPO)，或更改域的信任设置，包括域或租户之间的联合信任关系。 拥有足够的权限后，攻击者可以修改域或租户策略设置。由于这些服务的配置设置适用于大量身份资源，此滥用可能衍生出大量潜在的攻击性恶意后果。此类滥用的示例包括： * 修改 GPO 以向整个域环境中的计算机推送恶意[计划任务](https://attack.mitre.org/techniques/T1053/005)(Citation: ADSecurity GPO Persistence 2016)(Citation: Wald0 Guide to GPOs)(Citation: Harmj0y Abusing GPO Permissions) * 修改域信任以包含攻击者控制的域，使攻击者能够伪造随后会被受害者域资源接受的访问令牌(Citation: Microsoft - Customer Guidance on Recent Nation-State Cyber Attacks) * 更改 AD 环境内的配置设置以实现[流氓域控制器](https://attack.mitre.org/techniques/T1207)。 * 向身份租户添加新的、攻击者控制的联合身份提供程序，使攻击者能够以受害者租户管理的任意用户身份进行认证 (Citation: Okta Cross-Tenant Impersonation 2023) 攻击者可能临时修改域或租户策略，执行恶意操作，然后还原更改以移除可疑指标。