MITRE ATT&CK - Técnica

T1003.008: /etc/passwd and /etc/shadow

/etc/passwd and /etc/shadow (T1003.008) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.

Técnica T1003.008 Enterprise ATT&CK

Contexto para AppSec

Em uma auditoria de AppSec, /etc/passwd and /etc/shadow deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Credential Access. As plataformas mapeadas pela MITRE incluem Linux. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.

Tática/fase Credential Access
Plataformas MITRE Linux

Descrição oficial original do MITRE ATT&CK

Adversaries may attempt to dump the contents of /etc/passwd and /etc/shadow to enable offline password cracking. Most modern Linux operating systems use a combination of /etc/passwd and /etc/shadow to store user account information, including password hashes in /etc/shadow. By default, /etc/shadow is only readable by the root user. Linux stores user information such as user ID, group ID, home directory path, and login shell in /etc/passwd. A "user" on the system may belong to a person or a service. All password hashes are stored in /etc/shadow - including entries for users with no passwords and users with locked or disabled accounts. Adversaries may attempt to read or dump the /etc/passwd and /etc/shadow files on Linux systems via command line utilities such as the cat command. Additionally, the Linux utility unshadow can be used to combine the two files in a format suited for password cracking utilities such as John the Ripper - for example, via the command /usr/bin/unshadow /etc/passwd /etc/shadow > /tmp/crack.password.db. Since the user information stored in /etc/passwd are linked to the password hashes in /etc/shadow, an adversary would need to have access to both.

Ver fonte oficial no MITRE ATT&CK

Como o Vigly audita a técnica /etc/passwd and /etc/shadow automaticamente na sua pipeline

O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.

Conhecer a plataforma