Adversaries may breach or otherwise leverage organizations who have access to intended victims. Access through trusted third party relationship exploits an existing connection that may not be protected or receives less scrutiny than standard mechanisms of gaining access to a network.
Organizations often grant elevated access to second or third-party external providers in order to allow them to manage internal systems as well as cloud-based environments. Some examples of these relationships include IT services contractors, managed security providers, infrastructure contractors (e.g. HVAC, elevators, physical security). The third-party provider's access may be intended to be limited to the infrastructure being maintained, but may exist on the same network as the rest of the enterprise. As such, Valid Accounts used by the other party for access to internal network systems may be compromised and used.[1]
Angreifer können in Organisationen eindringen oder diese anderweitig ausnutzen, die Zugang zu den beabsichtigten Opfern haben. Der Zugriff über die Beziehung zu vertrauenswürdigen Dritten nutzt eine bestehende Verbindung aus, die möglicherweise nicht geschützt ist oder weniger sorgfältig geprüft wird als die Standardmechanismen, mit denen man sich Zugang zu einem Netzwerk verschafft.
Unternehmen gewähren häufig externen Zweit- oder Drittanbietern einen erweiterten Zugang, um ihnen die Verwaltung interner Systeme und Cloud-basierter Umgebungen zu ermöglichen. Einige Beispiele für diese Beziehungen sind IT-Dienstleister, Anbieter von verwalteten Sicherheitsdiensten und Infrastrukturdienstleister (z.B. HVAC, Aufzüge, physische Sicherheit). Der Zugriff des Drittanbieters kann sich auf die zu wartende Infrastruktur beschränken, kann aber im gleichen Netzwerk wie der Rest des Unternehmens vorhanden sein. Daher können [gültige Konten] (/techniques/T1078), die von der anderen Partei für den Zugriff auf interne Netzwerksysteme verwendet werden, kompromittiert und genutzt werden.(Zitat: CISA IT Service Providers)
Les adversaires peuvent violer ou utiliser d'une autre manière les organisations qui ont accès aux victimes prévues. L'accès par le biais d'une relation de tiers de confiance exploite une connexion existante qui peut ne pas être protégée ou faire l'objet d'un examen moins minutieux que les mécanismes standard d'accès à un réseau.
Les organisations accordent souvent un accès élevé à des fournisseurs externes secondaires ou tiers afin de leur permettre de gérer les systèmes internes ainsi que les environnements basés sur le cloud. Parmi les exemples de ces relations, citons les prestataires de services informatiques, les fournisseurs de sécurité gérée, les prestataires d'infrastructure (par exemple, CVC, ascenseurs, sécurité physique). L'accès du fournisseur tiers peut être destiné à être limité à l'infrastructure entretenue, mais peut exister sur le même réseau que le reste de l'entreprise. Ainsi, les [Comptes valides] (/techniques/T1078) utilisés par l'autre partie pour accéder aux systèmes du réseau interne peuvent être compromis et utilisés.(Citation : CISA IT Service Providers)
Gli avversari possono violare o sfruttare in altro modo le organizzazioni che hanno accesso alle vittime designate. L'accesso attraverso una relazione con terzi di fiducia sfrutta una connessione esistente che potrebbe non essere protetta o ricevere meno controllo rispetto ai meccanismi standard di accesso ad una rete.
Le organizzazioni spesso concedono un accesso elevato a fornitori esterni secondi o terzi per permettere loro di gestire sistemi interni e ambienti basati su cloud. Alcuni esempi di queste relazioni includono appaltatori di servizi IT, fornitori di sicurezza gestita, appaltatori di infrastrutture (es. HVAC, ascensori, sicurezza fisica). L'accesso del fornitore terzo può essere inteso come limitato all'infrastruttura in manutenzione, ma può esistere sulla stessa rete del resto dell'azienda. Di conseguenza, Valid Accounts usati dalla controparte per l'accesso ai sistemi interni della rete possono essere compromessi e utilizzati.(Citazione: CISA IT Service Providers)
| ID | Name | Description |
|---|---|---|
| G0007 | APT28 |
Once APT28 gained access to the DCCC network, the group then proceeded to use that access to compromise the DNC network.[2] |
| G0016 | APT29 |
APT29 has used compromised certificates issued by Mimecast to authenticate to Mimecast customer systems.[3] |
| G0115 | GOLD SOUTHFIELD |
GOLD SOUTHFIELD has breached Managed Service Providers (MSP's) to deliver malware to MSP customers.[4] |
| G0045 | menuPass |
menuPass has used legitimate access granted to Managed Service Providers in order to access victims of interest.[5][6][7][8][9] |
| G0034 | Sandworm Team |
Sandworm Team has used dedicated network connections from one victim organization to gain unauthorized access to a separate organization.[10] |
| ID | Mitigation | Description |
|---|---|---|
| M1030 | Network Segmentation |
Network segmentation can be used to isolate infrastructure components that do not require broad network access. |
| M1052 | User Account Control |
Properly manage accounts and permissions used by parties in trusted relationships to minimize potential abuse by the party and if the party is compromised by an adversary. |
| ID | Data Source | Data Component |
|---|---|---|
| DS0015 | Application Log | Application Log Content |
| DS0028 | Logon Session | Logon Session Creation |
| Logon Session Metadata |
Establish monitoring for activity conducted by second and third party providers and other trusted entities that may be leveraged as a means to gain access to the network. Depending on the type of relationship, an adversary may have access to significant amounts of information about the target before conducting an operation, especially if the trusted relationship is based on IT services. Adversaries may be able to act quickly towards an objective, so proper monitoring for behavior related to Credential Access, Lateral Movement, and Collection will be important to detect the intrusion.
Überwachen Sie die Aktivitäten von Zweit- und Drittanbietern und anderen vertrauenswürdigen Einrichtungen, die als Mittel zum Zugriff auf das Netzwerk genutzt werden können. Je nach Art der Beziehung kann ein Angreifer vor der Durchführung einer Operation Zugang zu einer erheblichen Menge an Informationen über das Ziel haben, insbesondere wenn die vertrauenswürdige Beziehung auf IT-Diensten basiert. Die Angreifer sind möglicherweise in der Lage, schnell zu handeln, um ein Ziel zu erreichen. Daher ist eine angemessene Überwachung des Verhaltens im Zusammenhang mit dem Zugriff auf Zugangsdaten, der seitlichen Bewegung und dem Sammeln von Daten wichtig, um das Eindringen zu erkennen.
Mettez en place une surveillance des activités menées par des fournisseurs secondaires et tiers et d'autres entités de confiance qui peuvent être exploitées comme moyen d'accéder au réseau. Selon le type de relation, un adversaire peut avoir accès à une quantité importante d'informations sur la cible avant de mener une opération, surtout si la relation de confiance est basée sur des services informatiques. Les adversaires peuvent être capables d'agir rapidement vers un objectif, donc une surveillance appropriée du comportement lié à l'accès aux justificatifs, au mouvement latéral et à la collecte sera importante pour détecter l'intrusion.
Stabilire il monitoraggio dell'attività condotta da fornitori di seconda e terza parte e altre entità fidate che possono essere sfruttate come mezzo per ottenere l'accesso alla rete. A seconda del tipo di relazione, un avversario può avere accesso a quantità significative di informazioni sull'obiettivo prima di condurre un'operazione, specialmente se la relazione di fiducia si basa su servizi informatici. Gli avversari possono essere in grado di agire rapidamente verso un obiettivo, quindi un monitoraggio adeguato del comportamento legato all'accesso alle credenziali, al movimento laterale e alla raccolta sarà importante per rilevare l'intrusione.