Enumerazione Account Cloud: Cloud Account (T1087.004)

Nel contesto di un red team autorizzato, l'enumerazione degli account cloud parte sempre da un set di credenziali o token già acquisito. In ambiente Microsoft Entra ID, il primo passo è tipicamente l'uso di AzureAD PowerShell o Microsoft Graph PowerShell (open source, moduli Microsoft ufficiali). Il cmdlet legacy Get-MsolRoleMember elenca i membri di un ruolo, mentre con Graph si usa Get-MgDirectoryRole seguito da Get-MgDirectoryRoleMember. Con Azure CLI (open source) il comando az ad user list restituisce l'intera anagrafica utenti, e az ad group list mappa i gruppi.

Per un'enumerazione più stealth e strutturata, i tool di riferimento sono:

• ROADTools (open source) di Dirk-jan Mollema: roadrecon auth per autenticarsi, roadrecon gather per estrarre l'intero grafo del tenant in un database SQLite, e roadrecon gui per navigare relazioni utente-ruolo-applicazione.
• AADInternals (open source): modulo PowerShell che espone funzioni come Get-AADIntUsers e Get-AADIntGlobalAdmins, utile anche in fase di reconnaissance non autenticata.
• AzureHound (open source), il collector di BloodHound per Azure, usato dal gruppo Storm-0501: raccoglie utenti, gruppi, ruoli e applicazioni e li carica in Neo4j per identificare percorsi di attacco verso Global Admin.

In ambiente AWS, l'enumerazione si effettua con AWS CLI (open source): aws iam list-users, aws iam list-roles, aws iam list-groups e aws iam get-account-authorization-details per un dump completo delle policy. Il framework offensivo di riferimento è Pacu (open source) di Rhino Security Labs, che con il modulo iam__enum_users_roles_policies_groups automatizza l'intero processo e con iam__privesc_scan individua percorsi di privilege escalation.

Su Google Cloud, i comandi chiave sono gcloud iam service-accounts list e gcloud projects get-iam-policy --format=json, che restituiscono i binding ruolo-identità. Per Workspace, gcloud identity groups memberships list enumera i gruppi.

Buona norma operativa: usare token OAuth con scope minimo, ruotare gli user-agent, distribuire le chiamate nel tempo per evitare pattern burst, e preferire l'API Graph a chiamate multiple del portale web che generano più eventi. In laboratorio, ambienti come Azure Tenant Attack Simulator o CloudGoat (open source) di Rhino Security Labs permettono di testare queste catene in modo sicuro.

La detection dell'enumerazione di account cloud si fonda su quattro pilastri di telemetria che riflettono i punti analitici AN1087-AN1090 di MITRE. Il primo è l'Identity Provider: in Microsoft Entra ID le sorgenti chiave sono Microsoft Entra ID Audit Logs, AzureAD SignInLogs e Microsoft 365 Defender. Le chiamate a Microsoft Graph verso endpoint come /users, /directoryRoles o /groups con scope Directory.Read.All eseguite da principal non abituali sono l'indicatore principale.

Sul fronte IaaS, per AWS il log source primario è CloudTrail: gli eventi ListUsers, ListRoles, ListGroups, GetAccountAuthorizationDetails vanno correlati per sourceIPAddress, userAgent e userIdentity.type. Un user-agent contenente aws-cli/ proveniente da un IP residenziale o da una region non operativa è un forte segnale. Per Azure, azure:activity e AzureDiagnostics registrano le chiamate ARM, mentre per GCP i Cloud Audit Logs categoria Admin Activity tracciano google.iam.admin.v1.ListServiceAccounts e GetIamPolicy.

Per la componente Office Suite, la telemetria PowerShell (WinEventLog:PowerShell, EventID 4103 e 4104) intercetta l'uso di Get-MsolRoleMember, Get-Recipient, Get-Mailbox e Get-User. Nei log Graph di M365, cerca sessioni che eseguono decine di query directory in pochi minuti — pattern tipico di ROADTools o AzureHound.

Per SaaS, i Google Admin Audit Logs e i log Okta (evento user.session.access_admin_app, system.api_token.access) rivelano enumerazioni via SCIM o Directory API da app non autorizzate.

Le regole di tuning fondamentali suggerite da MITRE sono:

• TokenScope: allertare quando scope directory-read vengono usati da service principal che storicamente non li richiedono.
• CallerType: sopprimere account admin noti e alzare severity per identità developer, test o service.
• CLIUserAgent: correlare user-agent CLI inattesi con anomalie di geolocalizzazione.
• TimeWindow: aggregare burst di chiamate su finestre di 5-15 minuti per rilevare dump massivi.
• CmdletVolume: soglia sul numero di Get-Recipient/Get-Mailbox per ora per singola sessione.

I falsi positivi principali derivano da tool di IGA (Identity Governance) come SailPoint o Saviynt (a pagamento), da sync SCIM legittimi e da script di provisioning. Vanno mantenute allowlist per i service principal di questi tool. Microsoft Sentinel (a pagamento) e Splunk con l'add-on Cloud (freemium/a pagamento) offrono query analitiche pronte, mentre Elastic Security (freemium) include regole SIEM per CloudTrail e Azure AD in ambito open.

L'analisi forense di un'enumerazione cloud si costruisce attorno a fonti di log centralizzate, dato che gli endpoint tradizionali raramente conservano evidenze complete. La timeline parte dall'evento di autenticazione iniziale e prosegue con la sequenza di API call di discovery.

In Microsoft Entra ID, l'artefatto primario è il Sign-in Log (conservato 30 giorni in tier gratuito, fino a 2 anni con Entra ID P2, a pagamento). Ogni sessione ha un correlationId che permette di legare l'autenticazione alle successive chiamate registrate negli Audit Logs e nei Microsoft Graph Activity Logs. Cerca eventi Directory Management con operazioni Read su User, Group, DirectoryRole. L'attributo AppDisplayName rivela il client (es. Azure Active Directory PowerShell, Microsoft Graph Command Line Tools, o un ID applicazione custom tipico di ROADTools/AzureHound).

Per AWS, i CloudTrail Logs in bucket S3 dedicato sono la sorgente autoritativa. Filtra per eventName in (ListUsers, ListRoles, GetAccountAuthorizationDetails) e ricostruisci la sessione tramite userIdentity.sessionContext.sessionIssuer. Se l'attaccante ha usato Pacu, il campo userAgent spesso contiene aws-cli/ con versioni specifiche, e la sequenza di API call segue pattern riconoscibili del modulo iam__enum_permissions. In GCP, i Cloud Audit Logs esportati su BigQuery permettono query SQL su protoPayload.methodName per ricostruire l'enumerazione.

Sull'endpoint, se l'attaccante ha operato da una workstation compromessa, gli artefatti utili sono:

• PowerShell ScriptBlock Logs (EventID 4104 in Microsoft-Windows-PowerShell/Operational) che conservano il testo dei comandi Get-MsolRoleMember, Get-MgUser e simili.
• PSReadLine ConsoleHost_history.txt in *%AppData%\Microsoft\Windows\PowerShell\PSReadLine* con la history dei comandi digitati.
• Cache token in *%LOCALAPPDATA%.IdentityService* per Azure CLI e in ~/.aws/cli/cache/ per AWS CLI su Linux/macOS.
• Database SQLite di ROADTools (roadrecon.db) eventualmente lasciato dall'attaccante.

Per la ricostruzione temporale, tool come KAPE (gratuito per uso non commerciale) e Velociraptor (open source) automatizzano la raccolta di questi artefatti. Plaso/log2timeline (open source) integra CloudTrail JSON e Azure AD CSV export in una super-timeline unificata.

Nel caso della campagna C0027, l'analisi forense ha evidenziato che Scattered Spider scaricava bulk list di membri di gruppo Azure AD per identificare utenti privilegiati e i relativi indirizzi email — pattern osservabile come picchi di List members API call concentrati in finestre di pochi minuti, spesso preceduti da autenticazioni MFA push completate dopo SIM swapping.

L'enumerazione di account cloud è diventata un passaggio obbligato per gli attori che operano in ambienti ibridi e SaaS-first. I dati MITRE tracciano due gruppi principali e una campagna significativa, che insieme illustrano due modelli operativi distinti: state-sponsored espionage e cybercrime finanziariamente motivato.

APT29 (noto anche come Cozy Bear, attribuito al servizio di intelligence estero russo SVR) ha condotto enumerazione sistematica di account Azure AD nel contesto di operazioni di lungo termine contro governi, think tank e supply chain tecnologiche. L'approccio del gruppo privilegia stealth e persistenza: le enumerazioni sono distribuite nel tempo, spesso condotte tramite service principal compromessi o application consent grant, per confondersi con il traffico legittimo di automazione. Il focus su Entra ID è coerente con la strategia più ampia del gruppo di abusare federation trust e token SAML.

Storm-0501 è un attore ransomware tracciato da Microsoft che ha adottato AzureHound come tool standard per la ricognizione dei tenant vittima. L'uso di AzureHound indica un livello di maturità operativa elevato: il collector produce un grafo Neo4j che consente di identificare rapidamente percorsi di privilege escalation verso Global Administrator, accelerando la fase di deployment del ransomware su risorse cloud e ibride. Storm-0501 rappresenta il crossover tra tecniche tradizionalmente red-team e operazioni criminali.

La campagna C0027 (giugno-dicembre 2022), attribuita a Scattered Spider (UNC3944, Octo Tempest), ha colpito aziende di telecomunicazioni e BPO. Il gruppo combinava social engineering avanzato verso help desk, SIM swapping per bypass MFA e successiva enumerazione Azure AD per identificare utenti privilegiati e attributi email. Questa campagna è emblematica di come l'enumerazione cloud sia il fulcro tra Initial Access e monetizzazione: senza mappatura precisa delle identità, il pivoting verso reti di mobile carrier osservato in C0027 sarebbe stato impossibile.

A livello di tool overlap, si osserva convergenza tra ecosistemi offensivi:

• AADInternals e ROADTools sono nati come progetti di ricerca (Nestori Syynimaa e Dirk-jan Mollema) ma sono ormai standard sia per red team che per attori malevoli.
• Pacu è il framework AWS-centric più diffuso, con moduli che coprono discovery, escalation e exfiltration.
• AzureHound consolida il paradigma graph-based di BloodHound sul cloud Microsoft.

Il trend prevalente è lo spostamento del baricentro di attacco dalle identità on-premises a quelle cloud-native, con abuso crescente di OAuth application e service principal come vettori di enumerazione persistente. Per un threat intel officer, il monitoring di consent grant anomali e di sign-in da non-interactive service principal è oggi altrettanto critico quanto la sorveglianza dei domain controller.

MITRE ATT&CK: T1087.004 (Cloud Account), TA0007 (Discovery). Gruppi: G0016 (APT29), G1053 (Storm-0501). Software: S0677 (AADInternals), S0684 (ROADTools), S1091 (Pacu). Campagna: C0027 (Scattered Spider). Mitigazioni: M1018, M1047. Detection: DET0386 (AN1087-AN1090). MITRE D3FEND per artefatti Identity e API call. Contenuti di Livello 2 (comandi CLI, tool AzureHound/CloudGoat/KAPE/Velociraptor, piattaforme SIEM) derivati da conoscenza professionale di cybersecurity e documentazione ufficiale dei rispettivi progetti.