T1021.006: Windows 远程管理
摘要
攻击者可能使用[有效账户](https://attack.mitre.org/techniques/T1078)通过 Windows 远程管理（WinRM）与远程系统交互。随后攻击者可以以已登录用户的身份执行操作。 WinRM 既是 Windows 服务的名称，也是一种协议的名称，它允许用户与远程系统交互（例如运行可执行文件、修改注册表、修改服务）。(Citation: Microsoft WinRM) 可以使用 `winrm` 命令或 PowerShell 等任意数量的程序调用它。(Citation: Jacobsen 2014) WinRM 可用作与 [Windows Management Instrumentation](https://attack.mitre.org/techniques/T1047) 远程交互的一种方法。(Citation: MSDN WMI)
来源归属
来源：MITRE ATT&CK · 置信度：high
平台
- Windows
战术
横向移动
参考来源
- https://attack.mitre.org/techniques/T1021/006
- https://medium.com/threatpunter/detecting-lateral-movement-using-sysmon-and-splunk-318d3be141bc
- https://www.slideshare.net/kieranjacobsen/lateral-movement-with-power-shell-2
- https://msdn.microsoft.com/en-us/library/aa394582.aspx
- https://learn.microsoft.com/en-us/windows/win32/winrm/portal