Действительные учетные записи

Злоумышленники могут получать и использовать учетные данные существующих учетных записей как средство получения первоначального доступа, закрепления, повышения привилегий или предотвращения обнаружения. Скомпрометированные учетные данные могут использоваться для обхода средств контроля доступа, размещенных на различных ресурсах в системах внутри сети, и могут даже использоваться для постоянного доступа к удаленным системам и внешне доступным службам, таким как VPN, Outlook Web Access, сетевые устройства и удаленный рабочий стол. Скомпрометированные учетные данные также могут предоставить злоумышленнику повышенные привилегии для конкретных систем или доступ к ограниченным областям сети. Злоумышленники могут решить не использовать вредоносное ПО или инструменты в сочетании с легитимным доступом, который предоставляют эти учетные данные, чтобы затруднить обнаружение их присутствия. В некоторых случаях злоумышленники могут использовать неактивные учетные записи: например, принадлежащие лицам, которые больше не являются частью организации. Использование этих учетных записей может позволить злоумышленнику избежать обнаружения, поскольку первоначальный пользователь учетной записи не будет присутствовать для выявления любой аномальной активности, происходящей в его учетной записи. Пересечение разрешений для локальных, доменных и облачных учетных записей в сети систем вызывает озабоченность, поскольку злоумышленник может разворачиваться между учетными записями и системами, чтобы достичь высокого уровня доступа (т.е. администратор домена или предприятия) для обхода средств контроля доступа, установленных в пределах предприятия.