T1526: 云服务发现

摘要

攻击者可能在获得访问权限后尝试枚举系统上运行的云服务。这些方法可能因平台即服务 (PaaS)、基础设施即服务 (IaaS) 或软件即服务 (SaaS) 而异。各种云提供商中存在许多服务，可能包括持续集成和持续交付 (CI/CD)、Lambda Functions、Entra ID 等。它们还可能包括安全服务，例如 AWS GuardDuty 和 Microsoft Defender for Cloud，以及日志记录服务，例如 AWS CloudTrail 和 Google Cloud Audit Logs。 攻击者可能尝试发现有关整个环境中启用的服务的信息。Azure 工具和 API（例如 Microsoft Graph API 和 Azure Resource Manager API）可以枚举资源和服务，包括身份可访问的应用程序、管理组、资源和策略定义及其关系。(Citation: Azure - Resource Manager API)(Citation: Azure AD Graph API) 例如，Stormspotter 是一个用于枚举和构建 Azure 资源和服务图的开源工具，Pacu 是一个开源 AWS 利用框架，支持若干发现云服务的方法。(Citation: Azure - Stormspotter)(Citation: GitHub Pacu) 攻击者可能使用获得的信息来塑造后续行为，例如从枚举的服务中定位数据或凭据，或通过[禁用或修改工具](https://attack.mitre.org/techniques/T1685)或[禁用或修改云日志](https://attack.mitre.org/techniques/T1685/002)来规避已识别的防御。