T1556.007: 混合身份

摘要

攻击者可能修补、修改或以其他方式在云身份验证过程中植入后门，这些过程与本地用户身份相关联，以绕过典型的身份验证机制、访问凭据并启用对账户的持久性访问。 许多组织维护在本地和基于云的环境之间共享的混合用户和设备身份。这些可以通过多种方式维护。例如，Microsoft Entra ID 包括三个用于在 Active Directory 和 Entra ID 之间同步身份的选项 (Citation: Azure AD Hybrid Identity)： * 密码哈希同步（PHS），其中一个特权本地账户在 Active Directory 和 Entra ID 之间同步用户密码哈希，允许对 Entra ID 的身份验证完全在云中进行 * 直通身份验证（PTA），其中 Entra ID 身份验证尝试被转发到本地 PTA 代理，后者根据 Active Directory 验证凭据 * Active Directory 联合身份验证服务（AD FS），其中在 Active Directory 和 Entra ID 之间建立信任关系 AD FS 也可以与其他 SaaS 和云平台（如 AWS 和 GCP）一起使用，后者将把身份验证过程交给 AD FS，并接收包含混合用户身份和权限的令牌。 通过修改与混合身份关联的身份验证过程，攻击者可能能够建立对云资源的持久性特权访问。例如，攻陷运行 PTA 代理的本地服务器的攻击者可能向 `AzureADConnectAuthenticationAgentService` 进程注入恶意 DLL，该 DLL 授权所有向 Entra ID 进行身份验证的尝试，并记录用户凭据。(Citation: Azure AD Connect for Read Teamers)(Citation: AADInternals Azure AD On-Prem to Cloud) 在使用 AD FS 的环境中，攻击者可能编辑 `Microsoft.IdentityServer.Servicehost` 配置文件以加载恶意 DLL，该 DLL 为任何具有任何声明集的用户生成身份验证令牌，从而绕过多因素身份验证和已定义的 AD FS 策略。(Citation: MagicWeb) 在某些情况下，攻击者可能能够从云端修改混合身份身份验证过程。例如，攻陷 Entra ID 租户中全局管理员账户的攻击者可能能够通过 Web 控制台注册新的 PTA 代理，同样使其能够收集凭据并作为任何用户登录 Entra ID 环境。(Citation: Mandiant Azure AD Backdoors)