T1671: 云应用程序集成

摘要

攻击者可能通过利用软件即服务环境中的 OAuth 应用程序集成来实现持久化。攻击者可能创建自定义应用程序、将合法应用程序添加到环境中，甚至盗用现有集成以实现恶意目的。(Citation: Push Security SaaS Persistence 2022)(Citation: SaaS Attacks GitHub Evil Twin Integrations) OAuth 是一个开放标准，允许用户授权应用程序代表他们访问其信息。在 Microsoft 365 或 Google Workspace 等 SaaS 环境中，用户可能集成应用程序以改进其工作流程并完成任务。 利用应用程序集成可能使攻击者能够在环境中持久驻留——例如，通过从攻击者控制的高权限账户授予对某个应用程序的同意，以维持对其数据的访问，即使在该账户失去访问权限的情况下也是如此。(Citation: Wiz Midnight Blizzard 2024)(Citation: Microsoft Malicious OAuth Applications 2022)(Citation: Huntress Persistence Microsoft 365 Compromise 2024) 在某些情况下，集成即使在最初授予同意的用户账户被禁用后仍可能保持有效。(Citation: Push Security Slack Persistence 2023) 应用程序集成还可能使攻击者能够通过使用[应用程序访问令牌](https://attack.mitre.org/techniques/T1550/001)绕过多因素身份验证要求。最后，它们可能实现随时间推移的持久[自动化外泄](https://attack.mitre.org/techniques/T1020)。(Citation: Synes Cyber Corner Malicious Azure Application 2023) 创建或添加新应用程序可能要求攻击者为该应用程序创建专用的[云账户](https://attack.mitre.org/techniques/T1136/003)并为其分配[额外的云角色](https://attack.mitre.org/techniques/T1098/003)——例如，在 Microsoft 365 环境中，应用程序只能通过关联的服务主体访问资源。(Citation: Microsoft Entra ID Service Principals)