Czym jest rozpoznanie wewnętrzne (discovery) w MITRE ATT&CK?

Discovery to napastnik, który jest już w środku i ustala, co zawiera Twoja sieć: jakie hosty istnieją, jakie usługi oferują, w których udziałach są pliki, kto jest administratorem i gdzie leżą kopie zapasowe. Typowe techniki to skanowanie wewnętrznych zakresów adresów, wyliczanie udziałów sieciowych, odpytywanie katalogu i odczyt konfiguracji maszyny, na której się znajduje. W przeciwieństwie do rozpoznania z zewnątrz rozpoznanie wewnętrzne przechodzi przez Twoją sieć, co czyni je jednym z najbardziej widocznych etapów: jeden host nagle łączy się z wieloma adresami wewnętrznymi na portach SMB, RDP lub baz danych. Zapytania do katalogu widać raczej w logach tożsamości niż w sensorze przepływów. Segmentacja ogranicza zasięg rozpoznania. NetSenX wykrywa skanowanie wewnętrzne w każdym planie, także Free, a od planu Pro łączy je z sesjami, które następują potem.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy