Was ist Erkundung (Discovery) in MITRE ATT&CK?
Discovery ist der Angreifer, der schon drin ist und herausfindet, was Ihr Netz enthält: welche Hosts es gibt, welche Dienste sie anbieten, auf welchen Freigaben Dateien liegen, wer Administrator ist und wo die Backups sind. Typische Techniken sind das Scannen interner Adressbereiche, das Auflisten von Netzfreigaben, Abfragen des Verzeichnisses und das Auslesen der Konfiguration des Rechners, auf dem er sitzt. Anders als die Aufklärung von außen läuft die interne Erkundung über Ihr Netz und gehört deshalb zu den sichtbarsten Phasen: Ein Host verbindet sich plötzlich mit vielen internen Adressen auf SMB-, RDP- oder Datenbankports. Verzeichnisabfragen erscheinen eher in Identitäts-Logs als bei einem Flow-Sensor. Segmentierung begrenzt, was die Erkundung erreicht. NetSenX erkennt interne Scans in jedem Plan, auch im Free-Plan, und verknüpft sie ab dem Pro-Plan mit den folgenden Sitzungen.
Weiterlesen
Verwandte Fragen
- Was ist Sammlung (Collection) in MITRE ATT&CK?
- Was ist Command and Control (C2) als ATT&CK-Taktik?
- Was ist die Taktik Impact in MITRE ATT&CK?
- Was ist die Cyber Kill Chain, und wie hängt sie mit MITRE ATT&CK zusammen?
- Wie kann ein kleines Team MITRE ATT&CK nutzen, um Lücken in seiner Erkennung zu finden?