T1556.009: 条件访问策略

摘要

攻击者可能禁用或修改条件访问策略，以启用对受感染账户的持久性访问。条件访问策略是身份提供者以及身份和访问管理系统用于确定是否应授予用户对资源访问权限的额外验证。 例如，在 Entra ID、Okta 和 JumpCloud 中，可以根据用户的 IP 地址、设备注册状态以及多因素身份验证的使用来拒绝用户访问应用程序。(Citation: Microsoft Conditional Access)(Citation: JumpCloud Conditional Access Policies)(Citation: Okta Conditional Access Policies) 在某些情况下，身份提供者还可能支持使用基于风险的指标，以根据各种指标拒绝登录。在 AWS 和 GCP 中，IAM 策略可以包含 `condition` 属性，用于验证任意约束，如源 IP、发出请求的日期以及所请求资源或区域的性质。(Citation: AWS IAM Conditions)(Citation: GCP IAM Conditions) 这些措施有助于防止被泄露的凭据导致对数据或资源的未经授权访问，并将用户权限限制为仅所需权限。 通过修改条件访问策略，例如添加额外的受信任 IP 范围、移除[多因素身份验证](https://attack.mitre.org/techniques/T1556/006)要求，或允许额外的[未使用/不受支持的云区域](https://attack.mitre.org/techniques/T1535)，攻击者可能能够确保对账户的持久性访问并规避防御措施。