ATT&CK-CN V1.01 Last Update: 2019-11 [返回索引页]
译者: 林妙倩、戴亦仑 原创翻译作品，如果需要转载请取得翻译作者同意。
数据来源：ATT&CK Matrices
原文: https://attack.mitre.org/techniques/T1098
术语表: /attack/glossary
账户操作
帐户操作可以帮助攻击者维持对环境中的凭据和特定权限级别的访问权限。操作可以包括修改权限、修改凭据、添加或更改权限组、修改帐户设置或修改身份验证的执行方式。这些操作还可以包括旨在破坏安全策略的帐户活动，例如重复更新密码来破坏有关密码持续时间的策略并保持已盗取凭据的有效性。攻击者必须在系统或域上具有足够的权限才能创建或操作帐户。
缓解
使用多因素身份验证。 遵循防止或限制攻击者访问有效帐户的指南。 通过确保关键服务器的正确安全配置来保护域控制器。 配置访问控制和防火墙以限制对这些系统的访问。 不允许域管理员帐户被用于可能将其暴露给非特权系统上的潜在攻击者的日常操作。
检测
收集与系统和域上的账户对象更改相关的事件，例如事件 ID 4738。 监控与其他可疑活动相关的账户变更。 可能会在异常时间或异常系统中发生更改。 特别是在主题和目标帐户不同 或包含其他标志（如在不知道旧密码的情况下更改密码）的标志事件中。
凭据的使用也可能发生在异常的时间或异常的系统或服务中，并可能与其他可疑活动相关。