T1016: 系统网络配置发现

摘要

攻击者可能查找有关其访问系统的网络配置和设置的详细信息（例如 IP 和/或 MAC 地址），或通过对远程系统的信息发现来获取这些信息。存在多种可用于收集此信息的操作系统管理实用程序。示例包括 [Arp](https://attack.mitre.org/software/S0099)、[ipconfig](https://attack.mitre.org/software/S0100)/[ifconfig](https://attack.mitre.org/software/S0101)、[nbtstat](https://attack.mitre.org/software/S0102) 和 [route](https://attack.mitre.org/software/S0103)。 攻击者还可能利用网络设备上的[网络设备 CLI](https://attack.mitre.org/techniques/T1059/008) 收集有关配置和设置的信息，例如已配置接口的 IP 地址以及静态/动态路由（例如 <code>show ip route</code>、<code>show ip interface</code>）。(Citation: US-CERT-TA18-106A)(Citation: Mandiant APT41 Global Intrusion ) 在 ESXi 上，攻击者可能利用 esxcli 收集网络配置信息。例如，命令 `esxcli network nic list` 将检索 MAC 地址，而 `esxcli network ip interface ipv4 get` 将检索本地 IPv4 地址。(Citation: Trellix Rnasomhouse 2024) 攻击者可能在自动化发现过程中利用[系统网络配置发现](https://attack.mitre.org/techniques/T1016)获得的信息来塑造后续行为，包括确定在目标网络内的某些访问权限以及下一步要执行的操作。