pushsecurity/browser-identity-attacks-matrixLa seguridad ofensiva impulsa la seguridad defensiva. Compartimos una colección de técnicas de ataque a SaaS para ayudar a los defensores a comprender las amenazas a las que se enfrentan. #nolockdown
<div align="center"> [](https://pushsecurity.com) [](https://www.youtube.com/watch?v=pdDzUTFVIZc) [](https://twitter.com/jukelennings) [](https://twitter.com/jacques_sec) [](https://twitter.com/pushsecurity) <a href="https://pushsecurity.com"> <picture> <source media="(prefers-color-scheme: dark)" srcset="https://github.com/user-attachments/assets/bf1acc9e-c55d-4e1c-b0cd-77e906c90d91"> <img src="https://assets.kitploit.com/production/public/readmes/265/9b26255ad62a416019c6763e40308e6a63873a3be1edb008fe5fa656241257e5.png" width="400"> </picture> </a> </div> # Matriz de Ataques al Navegador y la Identidad Este repositorio es una colección de técnicas de ataque al navegador y la identidad que abarcan aplicaciones SaaS, ataques basados en el navegador, proveedores de identidad y phishing. Su objetivo es ser un recurso para investigadores de seguridad, equipos rojos/azules y testers de penetración para aprender y compartir estas técnicas de ataque. > **Aviso de cambio de nombre:** Este proyecto se conocía anteriormente como la *Matriz de Ataques SaaS*. Lo hemos renombrado a *Matriz de Ataques al Navegador y la Identidad* para reflejar mejor su alcance en expansión — incluyendo técnicas de ataque basadas en el navegador (como extensiones maliciosas y phishing) y ataques a la capa de identidad que no encajan fácilmente bajo la etiqueta "SaaS". Todos los enlaces y referencias existentes a este repositorio siguen funcionando; solo ha cambiado el nombre. > Nota rápida: queríamos empezar a compartir lo antes posible, así que esto es un trabajo en curso. Con suerte, hay suficiente para ver la forma de lo que vendrá, pero sin duda hay lagunas: las iremos rellenando en las próximas semanas y meses. Si puedes ayudar a completar referencias, añadir ejemplos o señalarnos técnicas faltantes, por favor abre un issue (¡o incluso un PR!). Te daremos el crédito correspondiente. Para obtener más información sobre los antecedentes de este proyecto, consulta la siguiente [entrada de blog](https://pushsecurity.com/blog/saas-attack-techniques/) La presentación de Microsoft BlueHat 2023 "The new SaaS cyber kill chain" que cubre gran parte de esta investigación se puede encontrar a continuación: [BlueHat - The new SaaS cyber kill chain](https://www.youtube.com/watch?v=pdDzUTFVIZc) Para un podcast que cubre este tema, echa un vistazo al DCP Podcast de SpectreOps a continuación: [DCP Podcast - Episodio 35](https://www.youtube.com/watch?v=NAOE875gAOg) ## La Matriz de Ataques al Navegador y la Identidad Nos hemos inspirado en el marco MITRE ATT&CK (ciertamente concebido como la forma más sincera de halago), pero queríamos hacer una ruptura consciente con las técnicas de ATT&CK centradas en endpoints y, en cambio, centrarnos en técnicas que apuntan a navegadores, sistemas de identidad y aplicaciones SaaS. De hecho, ninguna de estas técnicas toca endpoints o redes de clientes, por lo que las llamamos ataques sin red. | Reconocimiento | Acceso Inicial | Ejecución | Persistencia | Escalada de Privilegios | Evasión de Defensas | Acceso a Credenciales | Descubrimiento | Movimiento Lateral | Exfiltración | | --- | --- | --- | --- | --- | --- | --- | --- | --- | --- | |[Enumeración SAML](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/saml_enumeration/description.md)|[Phishing de consentimiento](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/consent_phishing/description.md)|[Flujos de trabajo fantasma](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/shadow_workflows/description.md)|[Claves API](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/api_keys/description.md)|[Backdooring de enlaces](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/link_backdooring/description.md)|[Claves API](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/api_keys/description.md)|[Extracción de contraseñas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/password_scraping/description.md)|[Descubrimiento de correo electrónico](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/email_discovery/description.md)|[Backdooring de enlaces](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/link_backdooring/description.md)|[Servicios de exportación](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/takeout_services/description.md)| |[Descubrimiento de inquilinos por subdominio](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/subdomain_tenant_discovery/description.md)|[Inquilinos envenenados](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/poisoned_tenants/description.md)|[Tokens OAuth](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/oauth_tokens/description.md)|[Tokens OAuth](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/oauth_tokens/description.md)|[Abuso de integraciones OAuth existentes](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/abuse_existing_oauth_integrations/description.md)|[Tokens OAuth](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/oauth_tokens/description.md)|[Robo de secretos de API](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/api_secret_theft/description.md)|[Búsqueda en directorio de aplicaciones](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/app_directory_lookup/description.md)|[Abuso de integraciones OAuth existentes](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/abuse_existing_oauth_integrations/description.md)|[Webhooks](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/webhooks/description.md)| |[Enumeración de inquilinos por slug](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/slug_tenant_enumeration/description.md)|[SAMLjacking](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/samljacking/description.md)|[Suplantación de aplicaciones del lado del cliente](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/client-side_app_spoofing/description.md)|[Integraciones gemelas malvadas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/evil_twin_integrations/description.md)|[Reglas de correo maliciosas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/malicious_mail_rules/description.md)|[Integraciones gemelas malvadas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/evil_twin_integrations/description.md)||[Enumeración de tokens OAuth](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/oauth_token_enumeration/description.md)|[Robo de secretos de API](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/api_secret_theft/description.md)|[Flujos de trabajo fantasma](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/shadow_workflows/description.md)| |[Reconocimiento DNS](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/dns_reconnaissance/description.md)|[Emboscada de cuentas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/account_ambushing/description.md)||[Reglas de correo maliciosas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/malicious_mail_rules/description.md)||[Reglas de correo maliciosas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/malicious_mail_rules/description.md)|||[Inicios de sesión sin contraseña](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/passwordless_logins/description.md)| |[Enumeración de nombres de usuario](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/username_enumeration/description.md)|[Relleno de credenciales](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/credential_stuffing/description.md)||[Compartir enlaces](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/link_sharing/description.md)||[Compartir enlaces](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/link_sharing/description.md)|||[Recuperación de cuenta](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/account_recovery/description.md)|| ||[Fuerza bruta de aplicaciones](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/app_spraying/description.md)||[Integraciones de sistemas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/system_integrations/description.md)||[Integraciones de sistemas](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/system_integrations/description.md)|||[Phishing en la aplicación](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/in-app_phishing/description.md)|| ||[Phishing por correo electrónico](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/email_phishing/description.md)||[Inicios de sesión fantasma](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/ghost_logins/description.md)||[Inicios de sesión fantasma](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/ghost_logins/description.md)|||[Suplantación de usuario en mensajería instantánea](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/im_user_spoofing/description.md)|| ||[Phishing por mensajería instantánea](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/im_phishing/description.md)||[Suplantación de aplicaciones del lado del cliente](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/client-side_app_spoofing/description.md)||[Suplantación de aplicaciones del lado del cliente](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/client-side_app_spoofing/description.md)|||[Compartir flujos de trabajo de automatización](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/automation_workflow_sharing/description.md)|| ||[Suplantación de usuario en mensajería instantánea](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/im_user_spoofing/description.md)||[Federación entrante](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/inbound_federation/description.md)||[Phishing de código de dispositivo](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/device_code_phishing/description.md)|||[SAMLjacking](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/samljacking/description.md)|| ||[nOAuth](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/noauth/description.md)||[Inscripción de dispositivos](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/device_enrollment/description.md)||[Robo de cookies de sesión](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/session_cookie_theft/description.md)|||[Federación entrante](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/inbound_federation/description.md)|| ||[Fatiga MFA](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/mfa_fatigue/description.md)||[Suplantación entre proveedores de identidad](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/cross-idp_impersonation/description.md)||[ConsentFix](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/consentfix/description.md)|||[Robo de cookies de sesión](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/session_cookie_theft/description.md)|| ||[Phishing de código de dispositivo](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/device_code_phishing/description.md)||[Phishing de contraseñas específicas de aplicación](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/app_specific_password_phishing/description.md)||||||| ||[Secuestro de flujos OAuth](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/hijack_oauth_flows/description.md)||||||||| ||[Phishing AiTM](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/aitm_phishing/description.md)||||||||| ||[Inscripción de dispositivos](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/device_enrollment/description.md)||||||||| ||[Inicios de sesión fantasma](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/ghost_logins/description.md)||||||||| ||[Degradación de MFA](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/mfa_downgrade/description.md)||||||||| ||[Abuso de acceso de invitado](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/guest_access_abuse/description.md)||||||||| ||[Suplantación entre proveedores de identidad](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/cross-idp_impersonation/description.md)||||||||| ||[Phishing de verificación](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/verification_phishing/description.md)||||||||| ||[Redressing de interfaz de usuario](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/ui_redressing/description.md)||||||||| ||[Phishing de contraseñas específicas de aplicación](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/app_specific_password_phishing/description.md)||||||||| ||[ConsentFix](https://github.com/pushsecurity/browser-identity-attacks-matrix/blob/main/techniques/consentfix/description.md)||||||||| Otra divergencia del marco ATT&CK es que estas técnicas no se basan únicamente en la observación. En su lugar, permitimos técnicas más exploratorias que no se han visto en la naturaleza. Creemos que esto es importante porque SaaS y la identidad son superficies de ataque relativamente nuevas, y queremos alentar a los investigadores de seguridad a pensar de manera creativa sobre cómo se pueden abusar de ellas — y de las técnicas basadas en navegador utilizadas para atacarlas — para anticipar mejor futuros ataques. También hemos eliminado algunas columnas que son comunes en estos marcos de estilo MITRE. Algunas (como Impacto) son tan similares que no vale la pena duplicarlas. Otras (quizás la más notable es la fase de Mando y Control) porque ya no aplican. Dado que SaaS se entrega directamente en Internet, no se puede forzar a un atacante a acceder a través de su puerta de enlace web. Puede intentar forzar a sus propios empleados a través de una puerta de enlace, pero los atacantes pueden acceder directamente como cualquier otra persona (hay casos extremos aquí, pero son raros). Esto significa que generalmente no hay necesidad de técnicas de C2. Finalmente, algunas necesitan una definición ligeramente más amplia. Por ejemplo, la fase de Ejecución incluye técnicas que no son estrictamente ejecución de código en un endpoint, pero logran un resultado equivalente en un contexto de SaaS, identidad o navegador. ## Alcance Cuando comenzamos este proyecto de investigación, la primera tarea fue elegir un alcance inicial. Como todo buen red-teamer, queríamos empezar con técnicas de bajo costo, por lo que buscábamos técnicas que: * Eviten controles altamente efectivos que sean costosos de eludir, especialmente controles de endpoint como EDR — por lo tanto, las técnicas basadas en malware en endpoints quedan fuera * Busquen características que puedan ser abusadas a largo plazo, en lugar de errores que se parchearán rápidamente — así que nada de cero días * Vayan más allá de las docenas de aplicaciones SaaS principales como O365 y Google Workspace — mirar a los cientos de otras aplicaciones que tienen controles de seguridad primitivos y almacenan o tienen acceso a datos altamente sensibles Si bien dejamos fuera las técnicas que son ataques basados en endpoints que conducen a un compromiso de SaaS, identidad o navegador (MITRE hace un buen trabajo con esas técnicas), creemos que las técnicas que van en la otra dirección — desde SaaS, identidad o el navegador de vuelta al endpoint — podrían tener sentido agregarlas aquí.
