pushsecurity/browser-identity-attacks-matrixLa seguridad ofensiva impulsa la seguridad defensiva. Compartimos una colección de técnicas de ataque a SaaS para ayudar a los defensores a comprender las amenazas a las que se enfrentan. #nolockdown
Este repositorio es una colección de técnicas de ataque al navegador y la identidad que abarcan aplicaciones SaaS, ataques basados en el navegador, proveedores de identidad y phishing. Su objetivo es ser un recurso para investigadores de seguridad, equipos rojos/azules y testers de penetración para aprender y compartir estas técnicas de ataque.
Aviso de cambio de nombre: Este proyecto se conocía anteriormente como la Matriz de Ataques SaaS. Lo hemos renombrado a Matriz de Ataques al Navegador y la Identidad para reflejar mejor su alcance en expansión — incluyendo técnicas de ataque basadas en el navegador (como extensiones maliciosas y phishing) y ataques a la capa de identidad que no encajan fácilmente bajo la etiqueta "SaaS". Todos los enlaces y referencias existentes a este repositorio siguen funcionando; solo ha cambiado el nombre.
Nota rápida: queríamos empezar a compartir lo antes posible, así que esto es un trabajo en curso. Con suerte, hay suficiente para ver la forma de lo que vendrá, pero sin duda hay lagunas: las iremos rellenando en las próximas semanas y meses. Si puedes ayudar a completar referencias, añadir ejemplos o señalarnos técnicas faltantes, por favor abre un issue (¡o incluso un PR!). Te daremos el crédito correspondiente.
Para obtener más información sobre los antecedentes de este proyecto, consulta la siguiente entrada de blog
La presentación de Microsoft BlueHat 2023 "The new SaaS cyber kill chain" que cubre gran parte de esta investigación se puede encontrar a continuación:
BlueHat - The new SaaS cyber kill chain
Para un podcast que cubre este tema, echa un vistazo al DCP Podcast de SpectreOps a continuación:
Nos hemos inspirado en el marco MITRE ATT&CK (ciertamente concebido como la forma más sincera de halago), pero queríamos hacer una ruptura consciente con las técnicas de ATT&CK centradas en endpoints y, en cambio, centrarnos en técnicas que apuntan a navegadores, sistemas de identidad y aplicaciones SaaS. De hecho, ninguna de estas técnicas toca endpoints o redes de clientes, por lo que las llamamos ataques sin red.
