MITRE ATT&CK - Técnica

T1098.006: Additional Container Cluster Roles

Additional Container Cluster Roles (T1098.006) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.

Técnica T1098.006 Enterprise ATT&CK

Contexto para AppSec

Em uma auditoria de AppSec, Additional Container Cluster Roles deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Persistence e Privilege Escalation. As plataformas mapeadas pela MITRE incluem Containers. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.

Tática/fase Persistence, Privilege Escalation
Plataformas MITRE Containers

Descrição oficial original do MITRE ATT&CK

An adversary may add additional roles or permissions to an adversary-controlled user or service account to maintain persistent access to a container orchestration system. For example, an adversary with sufficient permissions may create a RoleBinding or a ClusterRoleBinding to bind a Role or ClusterRole to a Kubernetes account. Where attribute-based access control (ABAC) is in use, an adversary with sufficient permissions may modify a Kubernetes ABAC policy to give the target account additional permissions. This account modification may immediately follow Create Account or other malicious account activity. Adversaries may also modify existing Valid Accounts that they have compromised. Note that where container orchestration systems are deployed in cloud environments, as with Google Kubernetes Engine, Amazon Elastic Kubernetes Service, and Azure Kubernetes Service, cloud-based role-based access control (RBAC) assignments or ABAC policies can often be used in place of or in addition to local permission assignments. In these cases, this technique may be used in conjunction with Additional Cloud Roles.

Ver fonte oficial no MITRE ATT&CK

Como o Vigly audita a técnica Additional Container Cluster Roles automaticamente na sua pipeline

O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.

Conhecer a plataforma