Browser & Identity Angriffsmatrix

Dieses Repository ist eine Sammlung von Angriffstechniken für Browser und Identität, die SaaS-Apps, browserbasierte Angriffe, Identitätsanbieter und Phishing abdeckt. Es dient als Ressource für Sicherheitsforscher, Red/Blue Teams und Penetrationstester, um diese Angriffstechniken zu erlernen und zu teilen.

Namensänderungshinweis: Dieses Projekt war zuvor als SaaS Attacks Matrix bekannt. Wir haben es in Browser & Identity Attacks Matrix umbenannt, um den erweiterten Umfang besser widerzuspiegeln — einschließlich browserbasierter Angriffstechniken (wie bösartige Erweiterungen und Phishing) und Angriffen auf der Identitätsebene, die nicht sauber unter das Label „SaaS“ fallen. Alle bestehenden Links und Verweise auf dieses Repository funktionieren weiterhin; nur der Name hat sich geändert.

Kurzer Hinweis: Wir wollten so früh wie möglich mit dem Teilen beginnen, daher ist dies noch stark in Arbeit. Hoffentlich ist genug vorhanden, um die Richtung zu erkennen, aber es gibt zweifellos Lücken – wir werden sie in den kommenden Wochen und Monaten füllen. Falls Sie helfen können, Referenzen zu ergänzen, Beispiele hinzuzufügen oder auf fehlende Techniken hinzuweisen – bitte erstellen Sie ein Issue (oder sogar einen PR)! Wir werden Sie auf jeden Fall nennen.

Weitere Informationen zum Hintergrund dieses Projekts finden Sie im folgenden Blogbeitrag

Der Microsoft BlueHat 2023 Vortrag „The new SaaS cyber kill chain“, der einen Großteil dieser Forschung abdeckt, finden Sie unten:

BlueHat - The new SaaS cyber kill chain

Für einen Podcast zu diesem Thema sehen Sie sich den DCP Podcast von SpectreOps an:

DCP Podcast - Episode 35

Die Browser & Identity Angriffsmatrix

Wir haben uns vom MITRE ATT&CK-Framework inspirieren lassen (sicherlich als aufrichtigste Form der Schmeichelei gemeint), wollten aber bewusst einen Bruch mit den endpoint-zentrierten ATT&CK-Techniken machen und uns stattdessen auf Techniken konzentrieren, die auf Browser, Identitätssysteme und SaaS-Anwendungen abzielen. Tatsächlich berühren keine dieser Techniken Endpunkte oder Kundennetzwerke – daher nennen wir sie netzwerklose Angriffe.

Ein weiterer Unterschied zum ATT&CK-Framework besteht darin, dass diese Techniken nicht ausschließlich auf Beobachtungen beruhen. Stattdessen lassen wir auch explorative Techniken zu, die noch nicht in freier Wildbahn beobachtet wurden. Wir denken, das ist wichtig, weil SaaS und Identität relativ neue Angriffsflächen sind und wir Sicherheitsforscher ermutigen möchten, kreativ darüber nachzudenken, wie sie – und die browserbasierten Techniken, die zu ihrem Angriff verwendet werden – missbraucht werden können, um zukünftige Angriffe besser vorherzusehen.

Wir haben auch einige Spalten entfernt, die in diesen MITRE-artigen Frameworks üblich sind. Manche (wie Impact) sind so ähnlich, dass sie sich nicht lohnen zu duplizieren. Andere (am bemerkenswertesten vielleicht die Command & Control-Phase), weil sie nicht mehr zutreffen. Da SaaS direkt über das Internet bereitgestellt wird, kann man einen Angreifer nicht zwingen, über Ihr Web-Gateway darauf zuzugreifen. Sie können versuchen, Ihre eigenen Mitarbeiter durch ein Gateway zu leiten, aber Angreifer können wie alle anderen direkt darauf zugreifen (es gibt Randfälle, aber diese sind selten). Das bedeutet, dass es im Allgemeinen keine Notwendigkeit für C2-Techniken gibt.

Schließlich benötigen einige eine etwas breitere Definition. Zum Beispiel umfasst die Ausführungsphase Techniken, die nicht strikt Codeausführung auf einem Endpunkt sind, aber ein gleichwertiges Ergebnis in einem SaaS-, Identitäts- oder Browserkontext erzielen.

Umfang

Als wir dieses Forschungsprojekt starteten, bestand die erste Aufgabe darin, einen anfänglichen Umfang zu wählen. Wie jedes gute Red Team wollten wir mit kostengünstigen Techniken beginnen, also suchten wir nach Techniken, die:

• Hochwirksame Kontrollen vermeiden, deren Umgehung teuer ist, insbesondere Endpunktkontrollen wie EDR – daher sind endpoint-malwarebasierte Techniken ausgeschlossen
• Nach Funktionen suchen, die langfristig missbraucht werden können, statt nach Bugs, die schnell gepatcht werden – also keine Zero-Days
• Über die etwa ein Dutzend Kern-SaaS-Apps wie O365 und Google Workspace hinausgehen – sich die Hunderte anderer Apps ansehen, die primitive Sicherheitskontrollen haben und hochsensible Daten speichern oder darauf zugreifen

Während wir Techniken ausgelassen haben, die endpointbasierte Angriffe sind, die zu einer Kompromittierung von SaaS, Identität oder Browser führen (MITRE macht bei diesen Techniken einen guten Job), denken wir, dass Techniken, die den umgekehrten Weg gehen – von SaaS, Identität oder dem Browser zurück zum Endpunkt – hier möglicherweise sinnvoll hinzuzufügen wären.