Enumerazione Servizi Cloud: Cloud Service Discovery (T1526)

Un esercizio red team su T1526 parte sempre da un'identità già acquisita — che sia un access token, un refresh token OAuth o credenziali di un service principal. L'obiettivo del ricognitore è costruire il grafo delle risorse accessibili senza generare picchi anomali di API call.

Su Azure/Entra ID, il tool di riferimento è ROADTools (open source), che tramite il modulo roadrecon estrae l'intero tenant in un database SQLite navigabile. La sequenza tipica prevede l'autenticazione con roadrecon auth seguita da roadrecon gather per il dump completo di utenti, gruppi, applicazioni, service principal e ruoli. L'output viene poi esplorato con roadrecon gui che avvia una web UI locale. In alternativa, AADInternals (open source, PowerShell) offre cmdlet come Get-AADIntTenantDetails e Invoke-AADIntReconAsOutsider utili anche in fase di enumerazione non autenticata, sfruttando endpoint OpenID pubblici.

Stormspotter (open source, Microsoft) è complementare: genera un grafo Neo4j delle risorse Azure, utile per visualizzare relazioni di trust e percorsi di privilege escalation. Va lanciato con un service principal dotato di ruolo Reader sulla subscription target.

Sul fronte AWS, Pacu (open source, Rhino Security Labs) resta lo standard. Dopo l'import delle credenziali con set_keys, il modulo iam__enum_permissions mappa i permessi effettivi dell'identità, mentre aws__enum_account e detection__enum_services enumerano rispettivamente l'account e i servizi di detection attivi come CloudTrail, GuardDuty e CloudWatch. L'output guida la scelta dei moduli successivi — ad esempio detection__disruption per valutare l'evasione dei log.

Per chi preferisce approcci low-noise, l'AWS CLI (open source) offre chiamate mirate come aws sts get-caller-identity, aws organizations describe-organization e aws ec2 describe-regions, molto meno rumorose di una scansione massiva. Su Azure la controparte è Azure CLI (open source) con az account list, az resource list e az ad sp list --all.

Accorgimenti da laboratorio: rispetta i rate limit del provider per non triggerare protezioni automatiche, usa user-agent realistici (evita quello di default di Pacu, spesso profilato dai vendor) e ruota le sorgenti IP tramite proxy cloud legittimi se il committente autorizza test più realistici. Documenta ogni chiamata API in un log locale per la fase di reporting.

La detection di T1526 si gioca sulla capacità di distinguere l'enumerazione automatizzata legittima (script di inventory, tool CSPM, backup) da quella malevola. I data source primari sono AWS CloudTrail, Azure Audit Logs e Azure Sign-in Logs, Microsoft 365 Unified Audit Log e le audit API delle piattaforme SaaS.

Sul piano IaaS (analitica AN1127), il segnale forte è un volume anomalo di chiamate describe-*, list-* o get-* in AWS, o query ricorsive verso l'Azure Resource Manager. È utile costruire una baseline per identità e user-agent: strumenti come Pacu o script Python custom presentano user-agent riconoscibili, mentre le utility ufficiali (aws-cli, terraform, azure-cli) hanno stringhe stabili. Un alert efficace correla tre condizioni: enumerazione ad alto volume, sessione recentemente autenticata da IP nuovo, e user-agent non presente nella whitelist. Il parametro EnumerationRateThreshold va tarato osservando il 95° percentile del traffico normale per ruolo.

Sul piano Identity Provider (AN1128), monitora chiamate massive verso Microsoft Graph endpoint come /users, /applications, /servicePrincipals, /directoryRoles. Le sign-in logs di Azure permettono di ancorare la discovery a una sessione specifica; incrocia con gli audit log per verificare se l'identità ha ruoli privilegiati (Global Admin, Application Admin, Privileged Role Admin). La lista PrivilegedRoleList dovrebbe essere gestita come asset critico e ogni enumerazione verso questi oggetti dovrebbe generare alert a priorità elevata.

Per Office Suite (AN1129), i log m365:unified espongono eventi di enumerazione di OAuth application, integrazioni e delegated permissions. Un pattern sospetto ricorrente è l'enumerazione di applicazioni consented seguita da tentativi di token replay da geolocalizzazioni divergenti — il parametro GeoLocationDeviation aiuta a filtrare i falsi positivi da utenti in trasferta.

Sul fronte SaaS (AN1130), piattaforme come Salesforce, Slack e Zoom espongono admin API che tracciano enumerazioni di integrazioni. Il rischio è che i service account applicativi generino traffico che maschera l'attività malevola: definisci uno ServiceAccountScope esplicito e alerta su ogni deviazione.

Falsi positivi frequenti includono tool di Cloud Security Posture Management come Prisma Cloud (a pagamento), Wiz (a pagamento) o ScoutSuite (open source), che generano enumerazioni massive legittime. Mantieni una lista di identità e IP autorizzati per questi tool ed escludili dalle regole ad alta severità, mantenendo però un log dedicato per audit. Correla sempre T1526 con eventi upstream di Initial Access (T1078 Valid Accounts) per prioritizzare gli alert.

L'analisi forense di T1526 si svolge quasi interamente sui log del control plane cloud, poiché la tecnica non lascia artefatti significativi sugli endpoint tradizionali. La timeline di riferimento si costruisce a partire da tre fonti principali: CloudTrail per AWS, Azure Activity Logs più Microsoft Graph Activity Logs per l'ecosistema Microsoft, e Cloud Audit Logs per GCP.

Il primo passo è isolare la sessione compromessa. In Azure, il campo correlationId nelle sign-in logs permette di legare l'autenticazione iniziale a tutte le chiamate API successive. Ogni evento nell'audit log riporta initiatedBy, ipAddress e userAgent: incrociando questi tre campi si ricostruisce l'ambito dell'accesso. In AWS l'equivalente è il campo eventID e la coppia sourceIPAddress / userAgent nei record CloudTrail; il sessionCredentialFromConsole aiuta a distinguere accessi via portale da accessi programmatici.

Gli artefatti chiave da raccogliere includono la lista completa delle API call di tipo read/list eseguite dall'identità nel timeframe di interesse, l'elenco delle risorse toccate, e la sequenza temporale delle chiamate. Tool come CloudTrail Lake (a pagamento, AWS) o query KQL su Microsoft Sentinel (a pagamento) accelerano l'analisi. Per chi lavora offline, Cloudgrep (open source) permette grep strutturati su archivi di log esportati.

Un indicatore forense significativo è la presenza nei log di user-agent riconducibili a tool offensivi noti: stringhe contenenti python-requests, Go-http-client, o firme specifiche di ROADTools, AADInternals e Pacu vanno segnalate. Verifica anche la comparsa di AzureADPreview PowerShell module o chiamate dirette a graph.microsoft.com/beta fuori dai pattern applicativi normali.

Sul fronte endpoint, se l'attaccante ha operato da una workstation compromessa, cerca tracce di installazione dei tool: nei prefetch di Windows (C:\Windows\Prefetch) possono comparire eseguibili come roadrecon.exe; in HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU e nella PowerShell history (ConsoleHost_history.txt) possono restare comandi rivelatori. Su Linux/macOS controlla ~/.bash_history, ~/.zsh_history e la cache pip in ~/.cache/pip per pacchetti come roadrecon o pacu.

La timeline finale dovrebbe includere: momento dell'autenticazione compromessa, prima chiamata di discovery, elenco esaustivo delle risorse enumerate, eventuali azioni di follow-on (accesso a segreti, modifica policy, disabilitazione log). Il caso Storm-0501 documenta enumerazioni mirate di policy Azure, resource lock e immutability policy dello Storage — un pattern che indica intento ransomware e va segnalato come priorità critica al team di IR.

Il panorama di T1526 è dominato da attori che hanno spostato le proprie operazioni verso il cloud, riconoscendo che l'enumerazione dell'inventario è oggi il vero prerequisito di ogni operazione post-compromise su scala enterprise.

Storm-0501 è l'unico gruppo tracciato specificamente su questa tecnica nei dati MITRE. Il suo modus operandi include l'enumerazione mirata delle Azure policy, dei resource lock e delle immutability policy applicate agli Azure Storage account. Questo pattern è particolarmente rivelatore: non si tratta di ricognizione generica, ma di una fase preparatoria a operazioni distruttive o estorsive. Identificare i lock significa sapere cosa rimuovere prima di cifrare o cancellare dati; identificare le immutability policy significa capire quali backup non possono essere manomessi e quindi vanno esclusi dalla strategia di estorsione. Storm-0501 è associato a operazioni di ransomware ibride che sfruttano la compromissione dell'identità cloud per pivotare verso ambienti on-premise e viceversa.

Sul piano del tool overlap, i tre strumenti documentati coprono superfici complementari. AADInternals (S0677) è il coltellino svizzero di chi opera su Entra ID e Microsoft 365, con capacità di enumerazione sia autenticata sia unauthenticated tramite endpoint OpenID pubblici. È utilizzato tanto da red team quanto da attori nation-state, il che complica l'attribuzione basata sul solo tooling. ROADTools (S0684) è più chirurgico, focalizzato sulla costruzione di un grafo completo di applicazioni Azure AD e service principal, particolarmente utile per identificare percorsi di consent phishing e abuso di OAuth. Pacu (S1091) resta il framework di riferimento per AWS, con moduli dedicati all'enumerazione di CloudTrail e CloudWatch — un chiaro segnale che gli attaccanti valutano attivamente le proprie possibilità di evasione dei log prima di procedere.

Il trend osservabile è la convergenza tra ricognizione e evasione: T1526 non è più un'attività isolata ma si intreccia sistematicamente con T1562.008 (Disable or Modify Cloud Logs) e T1562.001 (Disable or Modify Tools). Un attore maturo enumera i servizi di sicurezza prima di agire, per calibrare l'impatto delle proprie azioni sul rischio di detection.

Geograficamente, gli attori più attivi contro tenant Microsoft cloud mostrano origini legate ad aree con tradizionale focus sull'espionage economico e sul ransomware finanziariamente motivato. Per un CISO, la lezione strategica è che la protezione del control plane cloud — con MFA phishing-resistant, Conditional Access rigorose e monitoring del consent OAuth — vale oggi quanto la protezione degli endpoint dieci anni fa. Le enumerazioni sono spesso silenziose e precoci: intercettarle significa disinnescare la kill chain prima dell'impatto.

MITRE ATT&CK: tecnica T1526, tattica TA0007, software S0677 (AADInternals), S0684 (ROADTools), S1091 (Pacu), gruppo G1053 (Storm-0501), detection strategy DET0402 (analitiche AN1127-AN1130). MITRE D3FEND per il mapping delle contromisure difensive. Le sezioni operative su comandi, tool e artefatti integrano conoscenza professionale di cybersecurity applicata su strumenti open source verificabili (ROADTools, Stormspotter, Pacu, AADInternals, AWS CLI, Azure CLI, Cloudgrep) e piattaforme commerciali di riferimento (Microsoft Sentinel, CloudTrail Lake, Prisma Cloud, Wiz).