T1518.001: 安全软件发现

摘要

攻击者可能尝试获取系统上或云环境中已安装的安全软件、配置、防御工具和传感器的列表。这可能包括诸如云监控代理和反病毒软件之类的东西。攻击者可能利用在自动发现期间从[安全软件发现](https://attack.mitre.org/techniques/T1518/001)获得的信息来塑造后续行为，包括攻击者是否完全感染目标和/或尝试特定操作。 可用于获取安全软件信息的示例命令包括 [netsh](https://attack.mitre.org/software/S0108)、配合 [Reg](https://attack.mitre.org/software/S0075) 的 <code>reg query</code>、配合 [cmd](https://attack.mitre.org/software/S0106) 的 <code>dir</code>，以及 [Tasklist](https://attack.mitre.org/software/S0057)，但发现行为的其他指标可能更特定于攻击者正在寻找的软件或安全系统类型。越来越常见的是 macOS 恶意软件对 LittleSnitch 和 KnockKnock 软件执行检查。 攻击者还可能利用[云 API](https://attack.mitre.org/techniques/T1059/009) 来发现安装在计算基础设施上的云原生安全软件，例如 AWS CloudWatch agent、Azure VM Agent 和 Google Cloud Monitor agent。这些代理可能从 VM 收集指标和日志，这些可能集中聚合在基于云的监控平台中。