攻擊者繼續以 Microsoft 身份為目標，以獲取對連接的 Microsoft 應用程序和聯合 SaaS 應用程序的訪問權限。此外，攻擊者繼續在這些環境中進行攻擊，不是通過利用漏洞，而是通過濫用本機 Microsoft 功能來實現其目標。與 SolarWinds 攻擊相關的攻擊者組織 Nobelium 已被記錄使用本機功能，例如創建聯合信任，以實現對 Microsoft 租戶的持久訪問。

本文演示了一個附加的本機功能，當攻擊者利用該功能時，可以實現對 Microsoft 云租戶的持久訪問以及對另一個租戶的橫向移動功能。此攻擊媒介使在受損租戶中操作的攻擊者能夠濫用配置錯誤的跨租戶同步 (CTS) 配置并獲取對其他已連接租戶的訪問權限，或部署惡意 CTS 配置以維持租戶內的持久性。Vectra AI 尚未觀察到該技術在野外的使用情況，但鑒于歷史上類似功能的濫用情況，Vectra AI 為防御者提供了詳細信息，以了解攻擊將如何呈現以及如何監控其執行。此外，Vectra 攻擊信號情報TM。

跨租戶同步

CTS 是 Microsoft 的一項新功能，使組織能夠同步來自其他源租戶的用戶和組，并授予他們對目標租戶中的資源（Microsoft 和非 Microsoft 應用程序）的訪問權限。CTS 功能建立在以前的 B2B 信任配置之上，可實現不同租戶之間的自動化和無縫協作，并且是許多組織希望采用的功能。

對于像跨附屬公司擁有多個租戶的企業集團這樣的組織來說，CTS 是一項強大而有用的功能，但如果配置和管理不正確，也會引發不良行為者潛在的偵察、橫向移動和持久性攻擊。請繼續閱讀，了解攻擊者可以利用 CTS 來濫用從潛在受感染租戶到配置了 CTS 信任關系的任何其他租戶的信任關系的潛在風險和攻擊路徑。

• CTS 允許將另一個租戶的用戶同步（添加）到目標租戶中。
• 可以利用松散配置的 CTS 配置從受感染的租戶橫向移動到相同或不同組織的另一個租戶。
• 可以部署惡意 CTS 配置并將其用作后門技術，以維護來自外部對手控制的 Microsoft 租戶的訪問。

假設妥協！

漏洞利用技術遵循假定妥協哲學。這些漏洞利用中使用的技術假設 Microsoft 云環境中的身份已被泄露。在現實環境中，這可能源于具有 Microsoft 托管標識的 Intune 托管終結點上的瀏覽器妥協。

術語

協調員

有關 CTS 配置的重要信息：

1. 新用戶通過推送（而非拉取）同步到租戶。
   • 源租戶推送新用戶同步到目標租戶。
2. 自動同意兌換設置。
   • 啟用此功能后，每次將新用戶同步到目標租戶時都無需征得同意。
3. 同步范圍內的用戶是在源租戶中配置的。

攻擊

本文中描述的攻擊技術需要某些許可證和特權帳戶泄露或權限升級到受感染租戶中的某些角色。全局管理員角色可以在租戶中執行所有這些操作。

技巧一：橫向運動

在受損環境中操作的攻擊者可以利用現有的 CTS 配置租戶從一個租戶橫向移動到另一個連接的租戶。

攻擊者訪問受感染的租戶。

攻擊者對環境進行偵察，以識別通過部署的跨租戶訪問策略連接的目標租戶。

攻擊者檢查每個已連接租戶的跨租戶訪問策略配置，以識別啟用了“出站同步”的租戶。啟用出站同步的 CTA 策略允許當前租戶中的用戶和組同步到目標租戶中。

通過CTA策略配置分析，攻擊者發現已連接的啟用了出站同步的租戶，并將該租戶設置為橫向移動的目標。

然后，攻擊者會對受感染的租戶進行偵察，以找到運行將用戶和組同步到目標租戶的作業的 CTS 同步應用程序。

沒有直接的方法可以找到鏈接到目標租戶的 CTS 同步應用程序。攻擊者可以枚舉租戶中的服務主體，嘗試驗證目標租戶的憑據，以最終找到將同步作業托管到目標租戶的應用程序。它可以通過像這樣的簡單模塊來完成。

識別出 CTS 同步應用程序后，攻擊者可以修改其配置，將當前受感染的用戶帳戶添加到應用程序同步范圍中。這會將受損的用戶帳戶同步到目標租戶，并使用最初受損的相同憑據授予攻擊者對目標租戶的訪問權限。

或者，攻擊者還可以檢查 CTS 同步應用程序配置，以識別配置的同步范圍并采取相應行動。

例如，如果同步范圍中的對象是一個組，則攻擊者可以嘗試將受感染的用戶帳戶直接或間接添加到該組，這將自動允許受感染的帳戶同步到目標租戶中。

如果沒有明確的 CTA 入站條件阻止目標租戶中的同步，則受感染的帳戶將同步到目標租戶中。

攻擊者使用最初受損的相同帳戶橫向移動到目標租戶。

場景二：后門

在受感染的租戶中操作的攻擊者可以部署惡意的跨租戶訪問配置來維持持久訪問。

1. 1. 攻擊者訪問受感染的租戶。
   2. 攻擊者嘗試在受害租戶中部署具有以下屬性的新跨租戶訪問策略。

添加新的 CTA 策略，并將源租戶定義為攻擊者控制的外部租戶。

配置新的 CTA 策略以啟用“入站同步”。

為入站用戶同步啟用“自動用戶同意”。

1. 同時，攻擊者還在其外部租戶上配置了CTS。
   • 外部租戶 CTS 設置超出了本文的范圍，因此此處不予介紹。Microsoft在此處明確定義了在源租戶中設置 CTS 的過程。
2. 攻擊者現在可以通過推送到目標受害者租戶來同步其租戶中的新用戶。這允許攻擊者將來使用外部控制的帳戶訪問目標租戶上的資源。

防御

1. 本文檔中的攻擊技術遵循假設的妥協。企業必須繼續實施和執行安全最佳實踐，以降低帳戶泄露的風險。
2. CTS Target 租戶必須：
   1. 避免實施默認的入站 CTA 配置，該配置允許源租戶中的所有用戶/組/應用程序同步入站。
   2. 部署包容性較低的入站 CTA 配置，例如顯式定義可以通過 CTS 訪問的帳戶（如果可能）或組。
   3. 將 CTA 策略與其他條件訪問策略相結合，以防止未經授權的訪問。
3. CTS Source 租戶必須：
   1. 確保允許通過 CTS 訪問其他租戶的組（以及一般所有特權組）受到適當的監管和監控。
4. 大規模、快速地檢測和響應。

威達客戶：

Vectra 現有的警報組合能夠在了解此操作的含義以及此事件之前將發生的預期操作之前檢測到此活動。

事實上，這種技術并沒有實際利用漏洞，一旦對手處于具有足夠權限的環境中，就更難阻止。然而，Vectra 的人工智能驅動檢測旨在檢測這些類型的特權濫用場景，而無需依賴簽名或已知操作列表。

Vectra 的 Azure AD 權限操作異常監視環境和每個用戶中每個操作的潛在價值。人工智能不斷創建環境中應發生的操作類型的基線，并識別基于云的特權濫用的情況。通過關注特權濫用行為，Vectra 能夠識別新興技術，例如此處記錄的技術。

攻擊者在攻擊之前發生的操作（例如令牌盜竊或其他形式的帳戶泄露后的帳戶訪問）將通過 Vectra 檢測（例如 Azure AD 異常腳本引擎使用、Azure AD 可疑登錄或 Azure AD 可疑）發出警報OAuth 應用程序。

微軟云安全測試

定期有效地測試環境是對防御網絡攻擊的能力充滿信心的最佳方法。MAAD-Attack Framework是一款開源攻擊模擬工具，它結合了最常用的攻擊者技術，允許安全團隊通過簡單的交互式終端在其環境中快速有效地模擬它們。

安全團隊可以使用 MAAD-AF 模塊“利用跨租戶同步”來模擬和測試其環境中的 CTS 利用技術。

取消

有人回復時郵件通知我

Δ

提交評論





熱門專題

• 免費電腦壁紙
• 前沿技術分享
• 官方快訊信息
• 常用工具分享

聯系我們

聯系客服

微信：gousheguanjia
QQ：3598313340
公眾號：保貝狗

商務合作

對外合作

微信：gousheguanjia
公眾號：保貝狗
QQ：3598313340

熱門文章

• 保貝狗個人信息保護產品介紹2023-03-01評論(3)
• 國內最好的隱私防護軟件--以及別人借電腦如何設置隱私？2023-07-19評論(2)
• 電腦文件加密沉浸式演示2023-06-26評論(1)
• 免費電腦壁紙 村中小屋2023-07-20評論(1)
• 重大事件，網安局提醒警惕“銀狐”病毒2025-06-24評論(0)
• 史上最全AI工具合集【今天就是主打卷si同事！干翻老板！】2023-03-27評論(0)

熱門標簽

科技新聞(23)漏洞(17)惡意軟件(17)網絡安全(13)網絡攻擊(11)威脅情報(11)Linux(10)保貝狗(9)電腦隱私保護(9)隱私保護軟件(8)功能介紹視頻(8)網絡威脅(8)文件加密(7)免費電腦壁紙(7)勒索軟件(7)端點安全(7)個人信息保護(5)數據安全(5)隱私保護(4)電腦文件加密(4)文件加密方法(4)隱私(4)更新日志(3)文件隱藏(3)文件鎖定(3)android(3)移動安全(3)威脅(3)網絡犯罪(3)高級持續威脅(3)

合作伙伴

• 中關村軟件下載
• 當易網
• 比克爾軟件
• 百度站長
• 系統家園
• 自動收錄