7.R7.1 Identity & Access 類案例 on Tarragon

7.R7.1.1 Uber 2022：MFA 疲勞與內部工具擴散

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

2022 年 9 月，攻擊者先取得承包商帳號，再透過重複 MFA 請求與社交工程進入內部系統，後續接觸到多個內部管理工具。

本案例的演示焦點：social engineering → MFA push fatigue → 既有身份接入內部高權限工具的 identity-chain 失效。供應鏈植入、邊界零時差、資料外送量級壓力等其他 threat surface 由 supply-chain / edge-exposure / data-exfiltration 案例分類承擔。

攻擊路徑

取得初始帳號。
以 MFA fatigue 增加使用者誤同意機率。
使用已登入身份接觸內部高權限工具。
擴大可見範圍並造成營運干擾。

失效控制面

高風險登入路徑缺少 step-up 驗證。
內部工具授權邊界不足，初始落點可快速擴散。
身分異常事件與值班告警串接不足。

如果 workflow 少一步會發生什麼

若值班流程缺少「異常 MFA 請求密度」檢查，團隊會把登入異常當成一般使用者問題，導致處置時間延後、擴散面增加。

可落地的 workflow 檢查點

發布前：高風險操作要求 phishing-resistant 強認證（WebAuthn / passkey、阻擋可被連續同意的 push approval）+ 裝置信任綁定（managed device / posture check），mechanism 是讓「同意」不再是攻擊者唯一所需的人類動作。
日常：監控 authentication 異常事件（短時內 MFA 請求密度、跨地理 / 跨裝置序列）與 on-call 升級規則。
事故中：快速凍結可疑身分、切斷高權限工具存取（依賴內部工具事先有 token revocation 與 session kill 能力）、建立 incident timeline。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：第三方授權濫用 + 權限提升流程濫用 —— 把本案例的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.3 入口與伺服端保護 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern —— 把樣式轉成 tabletop 與 release gate 欄位。

來源

來源	類型	可引用範圍
uber.com	官方	攻擊者進入路徑、影響範圍與第一手時序
cisa.gov	政府/監管	Scattered Spider / UNC3944 TTP、跨組織 social engineering
cloud.google.com	技術分析	Mandiant 對 social engineering、SIM swap、後續勒索鏈 telemetry

7.R7.1.2 Okta + Cloudflare 2023：支援流程與身分供應鏈

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

2023 年 10 到 11 月，Okta 與 Cloudflare 的公開說明都指出，攻擊者透過支援相關流程取得可用資訊，形成跨組織的身分供應鏈風險。

本案例的演示焦點：上游供應商支援流程（HAR 檔 / 工單附件 / session token）→ 客戶側身分接管的跨組織 chain。重點在 support workflow 承載身分敏感材料時的邊界 / 通報節奏設計。

攻擊路徑

鎖定支援流程與可取得的工單資料。
利用流程缺口取得敏感資訊或權限線索。
以第三方身份供應商作為橋接點延伸到客戶側。

失效控制面

支援資料流沒有被視為高敏感資產。
憑證或會話資料生命周期管理不足。
供應商事件到客戶內部輪替流程沒有強制觸發。

如果 workflow 少一步會發生什麼

若缺少「供應商事件觸發的全域憑證輪替」，事件會停在公告層，實際可利用的憑證仍留在環境中。

可落地的 workflow 檢查點

發布前：支援系統資料分級、限制下載與外流路徑（HAR sanitizer、附件 retention 限制），mechanism 是讓支援系統的「便利性」不直接傳導到身分風險。
日常：建立第三方事件觸發的 runbook（含 cross-vendor coordination、客戶先發現的反向通報）。
事故中：啟用供應商事件專用 playbook、執行輪替、追蹤、封鎖（前提是輪替能力涵蓋第三方授權 token、不只內部 session）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：第三方授權濫用 + Overscoped 第三方 token grant —— 把 support workflow 承載身分材料的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.5 工作負載身份與 federated trust + 7.12 偵測涵蓋與訊號治理 —— mitigation 的 mechanism / 前提在這裡定義。
演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern + Control owner pattern —— 把樣式轉成 tabletop、release gate 欄位與跨組織 owner 分工。

來源

來源	類型	可引用範圍
sec.okta.com	官方	攻擊路徑、support system root cause、影響範圍
blog.cloudflare.com	政府/監管	客戶側偵測 / 即時回應、Zero Trust 防守效果（peer evidence）
cloud.google.com	技術分析	UNC3944 對 SaaS / 身分供應鏈的攻擊模式

7.R7.1.3 Twilio 2022：社交工程與員工帳號路徑

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

2022 年 8 月，Twilio 公告社交工程攻擊造成員工帳號被濫用，影響內部系統與部分客戶關聯風險。

本案例的演示焦點：員工 phishing → 內部管理工具接管 → 下游客戶 / 供應鏈傳導的 identity-chain 風險。重點在「員工身份」即「客戶風險面」的傳導邊界。其他 threat surface 由其他 case category 承擔。

攻擊路徑

以釣魚或社交工程瞄準員工。
取得可登入的員工身份。
使用合法身份移動到高價值系統與資料。

失效控制面

員工身份保護流程對社交工程韌性不足。
登入後的高敏感操作缺少額外驗證。
身分異常事件與快速隔離機制不夠緊密。

如果 workflow 少一步會發生什麼

若缺少「員工帳號異常即時隔離」步驟，攻擊者會持續用合法會話做橫向移動，調查難度與影響面同步上升。

可落地的 workflow 檢查點

發布前：高風險管理操作要求二次核准（multi-party approval、不只 MFA），mechanism 是讓單一帳號接管無法觸發影響客戶的決策。
日常：針對員工身份建立 alert runbook（管理工具登入跨地理 / 跨裝置 / 異常時段）。
事故中：執行分批憑證輪替與權限縮減、控制 blast radius（前提是 token / 權限有 audit trail 可分批 scope）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：權限提升流程濫用 + 核准流程濫用 —— 把員工身分 → 管理工具 → 客戶傳導的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.3 入口與伺服端保護 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern —— 把樣式轉成 tabletop 與 release gate 欄位。

來源

來源	類型	可引用範圍
twilio.com	官方	攻擊入口、影響範圍、員工 phishing kit 第一手 telemetry
cisa.gov	政府/監管	Scattered Spider / UNC3944 跨組織 TTP
cloud.google.com	技術分析	Mandiant 對 SMS phishing / SIM swap 後續鏈 telemetry

7.R7.1.4 MGM 2023：身分流程被打穿後的營運中斷

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

2023 年 9 月，MGM 對外更新顯示，資安事件對營運造成明顯衝擊，反映出身份流程事件可快速轉為可用性問題。

本案例的演示焦點：helpdesk social engineering → 高權限帳號接管 → 橫向擴散到核心系統 → 可用性 / 營運衝擊的 identity-to-availability chain。其他 threat surface 由其他 case category 承擔。

攻擊路徑

以身分流程弱點取得初始落點。
橫向影響多個內部系統。
連帶影響面向客戶的服務可用性。

失效控制面

身分事件與營運隔離界線不足。
關鍵業務流程缺少快速降級方案。
事件切換流程在高壓下不夠標準化。

如果 workflow 少一步會發生什麼

若缺少「服務降級與切換劇本」，即使識別到攻擊路徑，也難以在可接受時間內維持核心服務。

可落地的 workflow 檢查點

發布前：定義關鍵能力的 degradation 路徑，mechanism 是讓「身分受損」跟「營運停擺」解耦——不依賴攻擊期間能即時設計。
日常：演練 failover 與回復時序（含 helpdesk 重置流程的 callback 驗證 / out-of-band 確認）。
事故中：依 incident severity 快速分級與跨團隊指揮（前提是事先有單一 IC 角色與升級 ladder）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：權限提升流程濫用 + 帳號切換濫用 —— helpdesk 重置 / 身分 takeover 的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.13 安全事件路由 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern + Recovery readiness pattern —— 把樣式轉成 tabletop 與 release gate / 回復欄位。

來源

來源	類型	可引用範圍
investors.mgmresorts.com	官方	事件對外揭露、影響範圍、復原時序
cisa.gov	政府/監管	Scattered Spider / UNC3944 TTP、helpdesk 社交工程模式
cloud.google.com	技術分析	Mandiant 對 helpdesk impersonation、SaaS 後續擴散 telemetry

7.R7.1.5 Microsoft Storm-0558 2023：簽章金鑰鏈與郵件存取

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

Storm-0558 事件揭露簽章金鑰治理一旦失效，攻擊者就能沿著身分信任鏈存取雲端郵件服務。

本案例的演示焦點：簽章金鑰外洩 → 偽造可被驗證 token → 跨租戶身分接管的 federated trust chain 失效。屬於高層信任根（key material）類別、有別於前端社交工程或邊界漏洞。

攻擊路徑

取得可用的簽章金鑰材料。
偽造可被驗證的身分權杖。
以合法樣態存取目標信箱與資料。

失效控制面

簽章金鑰生命週期治理與隔離策略不足。
權杖驗證邊界缺少跨服務一致性檢查。
高風險身分事件的追查與升級節奏偏慢。

如果 workflow 少一步會發生什麼

若少了「跨租戶權杖異常立即升級」步驟，攻擊者可在低噪音條件下維持存取並擴大影響面。

可落地的 workflow 檢查點

發布前：把簽章金鑰納入硬體保護與輪替節奏（HSM-bound、不可導出 / 強制輪替週期），mechanism 是讓金鑰即使被讀也無法搬離保護邊界。
日常：監控 authentication 與 incident timeline 的異常關聯（跨租戶 token 出現相同 issuer 但不應跨域的軌跡）。
事故中：同步執行金鑰收斂、權杖失效、受影響範圍比對（前提是 token validation 路徑可在 fleet 層級熱抽換 issuer）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：Federated token trust drift + 第三方授權濫用 —— 把跨租戶 token 驗證邊界失效的 mechanism 抽象為可重用失效樣式。
控制面：7.5 工作負載身份與 federated trust + 7.8 secrets 與機器憑證治理 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern + Evidence chain pattern —— 把樣式轉成演練、輪替欄位與證據鏈。

來源

來源	類型	可引用範圍
microsoft.com	官方	攻擊鏈、影響範圍、修補節奏
cisa.gov	政府/監管	CSRB 對 cloud signing 治理的系統性檢討
msrc.microsoft.com	技術分析	金鑰取得 root cause、token validation 邊界深度分析

7.R7.1.6 Cloudflare 2023：供應商事件後的身分收斂

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

Cloudflare 在 2023 年事件說明中展示了供應商端事件如何傳導到客戶端身分流程，並觸發大規模憑證與 token 收斂作業。

本案例的演示焦點：上游 Identity Provider 事件 → 下游客戶側 token / session 收斂壓力的 identity-chain 風險傳導。其他 threat surface（直接 phishing / 邊界零時差 / 供應鏈植入）由其他 case category 承擔。

攻擊路徑

攻擊者先利用供應商支援流程取得線索。
嘗試使用取得的資訊進入客戶端環境。
透過 token、session 或憑證鏈路擴展存取。

失效控制面

供應商事件觸發條件與內部 runbook 連動不足。
高權限 token 的失效與輪替策略準備度不足。
受影響資產盤點與證據保存流程分離。

如果 workflow 少一步會發生什麼

若少了「供應商事件即啟動全域 token 盤點」步驟，事件判讀會停在公告層，內部可利用憑證仍持續存在。

可落地的 workflow 檢查點

發布前：為第三方事件設計獨立 runbook 與責任分工，mechanism 是讓供應商公告直接 trigger 內部盤點，不停在「閱讀公告」layer。
日常：維護 playbook 的憑證輪替優先級（依 token 範圍 / 受影響 tenant 分層、不是平均輪替）。
事故中：先凍結高風險憑證、再分批恢復必要權限（前提是事先有 token 範圍 inventory、否則無法分批）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：第三方授權濫用 + Overscoped 第三方 token grant —— 把本案例的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.5 工作負載身份與 federated trust —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
演練 / 控制落地：Identity support token tabletop + Credential hygiene pattern —— 把樣式轉成 tabletop 與 release gate 欄位。

來源

來源	類型	可引用範圍
blog.cloudflare.com	官方	客戶側偵測、即時回應、Zero Trust 與 hardware key 防守效果
sec.okta.com	政府/監管	上游事件 root cause、影響範圍、session token hijack 機制
cloud.google.com	技術分析	UNC3944 對 SaaS 攻擊 TTP、跨組織 chain 模式

7.R7.1.7 Slack 2022：企業 token 與程式碼資產路徑

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

Slack 2022 安全公告說明攻擊者透過員工帳號路徑接觸內部資產，突顯企業 token 與程式碼資產的連動風險。

本案例的演示焦點：員工身分被取得後 → 內部 token / 程式碼資產的橫向擴散風險，重點在 token 範圍邊界與 audit signal 匯流的設計。其他 threat surface 由其他 case category 承擔。

攻擊路徑

先透過社交工程取得員工憑證。
進入內部工具並接觸 token 或程式碼資產。
嘗試擴大到高價值系統或資料節點。

失效控制面

員工身份遭濫用後的隔離速度不足。
token 範圍與用途邊界定義不夠細緻。
程式碼資產存取異常訊號未快速匯流。

如果 workflow 少一步會發生什麼

若少了「內部 token 快速撤銷」步驟，攻擊者會維持有效會話，讓追查與復原成本上升。

可落地的 workflow 檢查點

發布前：把管理 token 分域並限制到最小權限（依用途切 audience，避免單一 token 跨多個敏感系統），mechanism 是讓單點接管不會直接通到所有資產。
日常：建立 alert runbook 監控異常存取（repo 異常 clone、token 跨 IP / 跨 device 序列）。
事故中：分層撤銷 token、並用 blast radius 框定影響面（前提是 token 有 inventory 可查 issuer / scope）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：委派操作濫用 + 邀請流程濫用 —— 把員工身分接管 → token / 資產存取的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.8 secrets 與機器憑證治理 —— mitigation 的 mechanism / 前提 / context-dependence 在這裡定義。
演練 / 控制落地：Credential hygiene pattern + Evidence chain pattern —— 把樣式轉成 token 治理欄位與證據鏈。

來源

來源	類型	可引用範圍
slack.com	官方	攻擊入口、影響範圍、token 處置時序
cisa.gov	政府/監管	跨組織 social engineering TTP
cloud.google.com	技術分析	UNC3944 對 SaaS / token 接管模式 telemetry

7.R7.1.8 Dropbox 2022：釣魚入侵與程式碼倉儲風險

Fri, 24 Apr 2026 00:00:00 +0000

事故摘要

Dropbox 2022 事件顯示員工帳號釣魚成功後，攻擊者可接觸私有程式碼倉儲與內部文件資產。

本案例的演示焦點：員工 phishing → OAuth / 內部 SSO 接管 → 高敏感研發資產（私有 repo / 內部文件）橫向存取的身分鏈。其他 threat surface 由 supply-chain（artifact 植入）/ edge-exposure（邊界漏洞）/ data-exfiltration（量級外送壓力）案例分類承擔。

攻擊路徑

社交工程鎖定員工帳號。
取得可登入的企業身份。
存取程式碼倉儲與內部文件系統。

失效控制面

員工端高風險登入驗證策略不足。
研發資產保護缺少額外 step-up 驗證。
身分異常與程式碼倉儲稽核串接不足。

如果 workflow 少一步會發生什麼

若少了「程式碼資產異常存取升級」步驟，攻擊者可在內部環境延長停留時間並擴大探索範圍。

可落地的 workflow 檢查點

發布前：對高敏感 repo 操作要求強化 authentication（phishing-resistant 因子、step-up 不只密碼 + OTP），mechanism 是讓 phishing-collected 憑證在 step-up 環節失效。
日常：將 repo 存取告警納入 on-call 流程（異常 clone / push 模式、跨地理 / 跨裝置序列）。
事故中：即時凍結可疑憑證與連線、保留時間軸證據（依賴 repo / SSO 事先有 audit log retention）。

從本案例到實作的 chain

本案例是事故敘事 layer，沿三步 chain 進入 implementation：

失效樣式：邀請流程濫用 + 委派操作濫用 —— 把 phishing → OAuth grant → 委派擴散的 mechanism 抽象為可重用失效樣式。
控制面：7.2 身分與授權邊界 + 7.6 供應鏈完整性與 artifact 信任 —— 研發資產 mitigation 的 mechanism / 前提在這裡定義。
演練 / 控制落地：Credential hygiene pattern + Evidence chain pattern —— 把樣式轉成 release gate 欄位與證據保存欄位。

來源

來源	類型	可引用範圍
dropbox.tech	官方	phishing 入口、影響範圍、研發資產處置時序
cisa.gov	政府/監管	跨組織 social engineering TTP
cloud.google.com	技術分析	UNC3944 對 SaaS 攻擊模式、phishing kit telemetry