English
Español
Français
Deutsch
日本語
한국어
العربيةإزالة المصادقة متعددة العوامل عن مستخدم
يمكنه إزالة جهاز MFA من مستخدم، ما يُضعفه تمهيدًا للاستيلاء عليه.
يمنح التصعيد بمفرده.
iam:DeactivateMFADeviceبمفرده، يستطيع iam:DeactivateMFADevice إزالة جهاز MFA من مستخدم، مما يُضعفه للاستيلاء عليه. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى كشف أُعمي أو حواجز حماية مُزالة.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي iam:DeactivateMFADevice على المستخدم، فيزيل اشتراط MFA على تلك الهوية. وبالاقتران مع إعادة تعيين كلمة مرور أو سكّ مفتاح وصول، يحوّل هذا حساباً محمياً جزئياً إلى حساب قابل للاستخدام بالكامل.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1556.006، تعديل عملية المصادقة: المصادقة متعددة العوامل، ضمن تكتيك التهرب الدفاعي. يسجّله AWS في CloudTrail باسم DeactivateMFADevice. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.
الكشف
DeactivateMFADeviceالمتطلبات المسبقة
iam:DeactivateMFADevice على المستخدم.
تكتيك
التهرّب من الدفاعات
من الضوابط التي قد تزيله: إزالة iam:DeactivateMFADevice من الكيان، مع قصر إدارة MFA على دور طوارئ (break-glass) والتنبيه عند الحدث.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح iam:DeactivateMFADevice؟
يمكنه إزالة جهاز MFA من مستخدم، ما يُضعفه تمهيدًا للاستيلاء عليه.
هل يمكن لـ iam:DeactivateMFADevice تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى تعطيل الكشف أو إزالة الضوابط الوقائية دون أي إذن آخر.
كيف يتم كشف إزالة MFA من المستخدم؟
راقب DeactivateMFADevice في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: أزل iam:DeactivateMFADevice من الكيان الرئيسي؛ وقصر إدارة MFA على دور break-glass وفعّل إنذاراً على الحدث. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1556.006، تعديل عملية المصادقة: المصادقة متعددة العوامل، ضمن تكتيك التهرب من الدفاعات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.