CISA 红队攻陷两家关键基础设施组织，一家毫无察觉

美国网络安全和基础设施安全局（CISA）公布了对两家关键基础设施组织同时进行的两项红队评估结果，称其使用了类似的攻击手法，但防御方的应对结果截然不同。
两家组织都在域级别被完全攻陷，而且在两者中，红队也都触及了敏感业务系统（SBS）和云资源。
这份编号为 AA26-237A、题为"两个 SOC 的故事"（A Tale of Two SOCs）的公告于 2026 年 8 月 25 日发布。CISA 将第一个目标仅标识为政府服务和设施部门组织，称为组织 A；第二个为水和废水处理系统部门实体，称为组织 B。
"CISA 使用类似的攻击手法同时进行了两项红队评估，但观察到不同的防御响应，"该机构在公告中表示。
针对组织 A，红队在识别出一个内置账户使用默认凭据的 Web 应用程序后获得了初始访问权限，这使其能够从内部地址发送钓鱼电子邮件，并在四台工作站上立足。
随后，它通过滥用默认的 Machine Account Quota 以及配置错误的 Active Directory 证书服务（AD CS）模板来提升权限——这与最近披露的名为 Certighost 的域接管漏洞背后所利用的证书模板滥用属于同一类。
该团队随后使用明文存储的凭据访问了三个敏感业务系统，包括解密后的数据库配置文件以及设置为永不过期的静态 Amazon Web Services（AWS）访问密钥。
在云环境中，它窃取了一个 Primary Refresh Token，并滥用具有提升权限的 Entra ID 应用程序来读取安全团队的电子邮件，以检查防御者是否意识到该活动。
组织 A 完全没有检测到任何这一切。CISA 表示，正常业务运营产生的数千条误报警报（其中许多被评定为更高严重性）掩盖了红队生成的警报，而且该组织运行了多个安全运营中心（SOC）和端点工具，但它们之间没有共享可见性。
分析师还缺乏升级流程，且可采取行动的权限有限，一条与红队在 System Center Configuration Manager（SCCM）服务器上活动相关的真实警报，因防御者无法识别该系统所有者而被当作误报驳回。
CISA 将以下弱点标记为此次入侵的主要促成因素：

• Machine Account Quota 保留在默认值，允许任何域用户添加机器账户。
• AD CS 证书模板配置错误，允许为任何用户请求证书（ESC1）。
• 存储在可访问系统上的服务和数据库账户的明文凭据。
• 设置为永不过期的静态云访问密钥，且没有令牌撤销机制。
• Entra ID 中权限过高的应用程序，能够读取所有用户的邮件。

组织 B 面对同样的攻击风格，则呈现出不同的情况。其 SOC 在每个钓鱼负载执行时即检测到它们，并在 2 至 20 分钟内隔离了受影响的工作站，在入侵扩散之前切断了命令与控制（C2）通信。
由于该立足点被切断，CISA 在该组织的可信代理在一台指定的非特权主机上执行了红队负载，以复现团队原本会获得的访问权限，将演练转变为假设已失陷（assume-breach）模式。
从那里开始，该团队发现了相同的根本性问题，包括 SCCM 配置文件中明文存储的域服务账户凭据，该账户对域控制器拥有权限，团队利用它进行了 DCSync 攻击并检索了 krbtgt 密钥。
该团队还到达了组织 B 运营技术（OT）隔离区中的一台堡垒主机，但该主机阻止了出站互联网访问，因此未建立 C2 通道，团队也未进入 OT 系统本身。
CISA 将两种结果之间的差距归因于运营这些工具的人员和流程，而非工具本身。
"检测工具的有效性取决于支持它们的人员、流程和程序，"该机构表示。