الاستمرارية IAM T1098.005 الاستمرارية

تسجيل مصادقة متعددة العوامل للمهاجم على مستخدم

يمكنه تسجيل جهاز MFA يتحكّم فيه المهاجم على مستخدم.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

iam:CreateVirtualMFADeviceiam:EnableMFADevice
الخلاصة الأساسية

يمكن لـ iam:EnableMFADevice تسجيل جهاز MFA يتحكم فيه المهاجم على مستخدم، لكن فقط عند امتلاكه مع iam:CreateVirtualMFADevice. ومعاً يصلان إلى طريق دائم للعودة.

EnableMFADevice regains access 01 Attacker principal 02 Standing credential 03 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي iam:CreateVirtualMFADevice ثم iam:EnableMFADevice لربط جهاز MFA يتحكم فيه المهاجم بالمستخدم، مؤسساً استمرارية تبقى بعد تدوير بيانات الاعتماد.

من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098.005، التلاعب بالحساب: تسجيل الأجهزة، ضمن تكتيك الاستمرارية. يسجّله AWS في CloudTrail باسم CreateVirtualMFADevice, EnableMFADevice. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.

الكشف

CreateVirtualMFADeviceEnableMFADevice

المتطلبات المسبقة

iam:CreateVirtualMFADevice + iam:EnableMFADevice على المستخدم.

MITRE ATT&CK

T1098.005 · التلاعب بالحسابات: تسجيل الأجهزة

تكتيك

الاستمرارية

كسر المسار

من الضوابط التي قد تزيله: إزالة iam:CreateVirtualMFADevice / iam:EnableMFADevice من الكيان، مع تنبيه عند تسجيلات MFA الجديدة.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح iam:EnableMFADevice؟

يمكنه تسجيل جهاز MFA يتحكّم فيه المهاجم على مستخدم.

ما الذي يلزم أيضاً لكي يصبح iam:EnableMFADevice خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع iam:CreateVirtualMFADevice. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف تسجيل MFA للمهاجم على المستخدم؟

راقب CreateVirtualMFADevice, EnableMFADevice في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: أزل iam:CreateVirtualMFADevice / iam:EnableMFADevice من الكيان الرئيسي؛ وفعّل إنذاراً على تسجيلات MFA الجديدة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1098.005، التلاعب بالحسابات: تسجيل الأجهزة، ضمن تكتيك الاستمرارية.

المسارات ذات الصلة

الخدمة نفسهاباب خلفي في جمهور موفّر OIDCiam:AddClientIDToOpenIDConnectProviderالخدمة نفسهاالاستيلاء على موفّر SAML لتولّي الأدوار الواثقة بهiam:UpdateSAMLProviderالخدمة نفسهاالاستيلاء على موفّر OIDC لتولّي الأدوار الواثقة بهiam:UpdateOpenIDConnectProviderThumbprintالخدمة نفسهاإرفاق سياسة المسؤول بدورiam:AttachRolePolicyالخدمة نفسهاإرفاق سياسة المسؤول بمستخدمiam:AttachUserPolicyالخدمة نفسهاإنشاء إصدار السياسة الافتراضيiam:CreatePolicyVersion

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق