pushsecurity/browser-identity-attacks-matrix攻撃的セキュリティが防御的セキュリティを推進します。防御側が直面する脅威を理解するために、SaaS攻撃手法のコレクションを共有しています。#nolockdown
このリポジトリは、SaaSアプリ、ブラウザベースの攻撃、IDプロバイダ、フィッシングを対象としたブラウザおよびID攻撃テクニックのコレクションです。セキュリティ研究者、レッド/ブルーチーム、ペネトレーションテスターがこれらの攻撃テクニックを学び、共有するためのリソースとなることを目的としています。
名称変更のお知らせ: このプロジェクトは以前は SaaS攻撃マトリクス として知られていました。ブラウザベースの攻撃テクニック（悪意のある拡張機能やフィッシングなど）や、「SaaS」というラベルにうまく当てはまらないIDレイヤーの攻撃を含むようにスコープを拡大したことを反映して、ブラウザおよびID攻撃マトリクス に名称を変更しました。このリポジトリへの既存のリンクや参照はすべて引き続き機能します。変更されたのは名称だけです。
クイックノート: できるだけ早く共有を始めたいと考えたので、これはまだ開発途上のものです。今後の方向性をうかがわせる内容は十分にあると思いますが、間違いなくギャップはあります。今後数週間から数か月かけて埋めていきます。参考文献の追加、例の追加、欠けているテクニックの指摘など、ご協力いただける場合は、Issue（またはPRでも！）を開いてください。クレジットは確実に表示します。
このプロジェクトの背景に関する詳細は、以下のブログ記事をご覧ください。
この研究の多くをカバーするMicrosoft BlueHat 2023のプレゼンテーション「The new SaaS cyber kill chain」は以下でご覧いただけます。
BlueHat - The new SaaS cyber kill chain
このトピックを扱ったポッドキャストについては、SpectreOpsによるDCP Podcastをご覧ください。
MITRE ATT&CKフレームワークからインスピレーションを得ていますが（これは最大の賛辞であると確信しています）、エンドポイントに焦点を当てたATT&CKテクニックから意識的に離れ、代わりにブラウザ、IDシステム、SaaSアプリケーションを標的とするテクニックに焦点を当てたいと考えました。実際、これらのテクニックはいずれもエンドポイントや顧客ネットワークに触れません。そのため、これらをネットワークレス攻撃と呼んでいます。
ATT&CKフレームワークとのもう一つの違いは、これらのテクニックが観測のみに基づいているわけではないことです。その代わり、まだ実際に観測されていない、より探索的なテクニックも受け入れています。SaaSとIDは比較的新しい攻撃対象領域であり、セキュリティ研究者がそれら（およびそれらを攻撃するために使用されるブラウザベースのテクニック）がどのように悪用され得るかについて創造的に考え、将来の攻撃をより予測できるようにすることが重要だと考えているためです。
また、これらのMITREスタイルのフレームワークで一般的ないくつかの列（例：影響）は非常に類似しているため重複させる価値がなく、また別の列（特に指揮統制フェーズ）はもはや適用されないため削除しました。SaaSはインターネット上で直接配信されるため、攻撃者にWebゲートウェイ経由でのアクセスを強制することはできません。自社の従業員をゲートウェイ経由でアクセスさせることは試みられますが、攻撃者は他の誰もと同じように直接アクセスできます（ここにはエッジケースがありますが、稀です）。そのため、一般的にC2テクニックは必要ありません。
最後に、いくつかの定義は少し広くする必要があります。例えば、実行フェーズには、エンドポイントでの厳密なコード実行ではありませんが、SaaS、ID、またはブラウザのコンテキストで同等の結果を達成するテクニックが含まれます。
この研究プロジェクトを開始したとき、最初のタスクは初期適用範囲を選択することでした。優れたレッドチーマーと同様に、低コストのテクニックから始めたいと考えました。つまり、以下の条件を満たすテクニックを探しました。
エンドポイントベースの攻撃からSaaS、ID、ブラウザへの侵害につながるテクニックは除外しましたが（MITREはこれらのテクニックを適切にカバーしています）、逆方向（SaaS、ID、ブラウザからエンドポイントへ）のテクニックはここに追加するのが理にかなうと考えています。
| 偵察 | 初期アクセス | 実行 | 永続化 | 権限昇格 | 防御回避 | 認証情報アクセス | 探索 | 横移動 | データ奪取 |
|---|
