T1484.002: 信任修改

摘要

攻击者可能添加新的域信任、修改现有域信任的属性，或以其他方式更改域和租户之间信任关系的配置，以逃避防御和/或提升权限。信任详细信息（例如用户身份是否联合）允许认证和授权属性在域或租户之间应用，以便访问共享资源。(Citation: Microsoft - Azure AD Federation) 这些信任对象可能包括应用于服务器、令牌和域的账户、凭据及其他认证材料。 操纵这些信任可能允许攻击者通过修改设置来添加他们控制的对象，从而提升权限和/或逃避防御。例如，在 Microsoft Active Directory (AD) 环境中，这可用于伪造 [SAML 令牌](https://attack.mitre.org/techniques/T1606/002)，而无需入侵签名证书来伪造新凭据。相反，攻击者可以操纵域信任以添加自己的签名证书。攻击者还可能使用 Active Directory Federation Services (AD FS) 将 AD 域转换为联合域，这可能支持恶意信任修改，例如更改声明颁发规则，以将任意一组有效凭据作为指定用户登录。(Citation: AADInternals zure AD Federated Domain) 攻击者还可能向身份租户（如 Okta 或 AWS IAM Identity Center）添加新的联合身份提供程序，这可能使攻击者能够以该租户的任意用户身份进行认证。(Citation: Okta Cross-Tenant Impersonation 2023) 这可能使威胁行为者能够广泛访问利用该身份租户的各种基于云的服务。例如，在 AWS 环境中，为 AWS Organization 创建新身份提供程序的攻击者将能够联合进入所有 AWS Organization 成员账户，而无需为每个成员账户创建身份。(Citation: AWS re Inforce Trust Mod)