T1596.002: WHOIS

摘要

攻击者可能搜索公开的 WHOIS 数据，以获取可用于定位阶段的受害者信息。WHOIS 数据由负责分配和指派互联网资源（如域名）的区域互联网注册管理机构（RIR）存储。任何人都可以查询 WHOIS 服务器以获取有关已注册域名的信息，例如分配的 IP 段、联系信息和 DNS 名称服务器。(Citation: WHOIS) 攻击者可能搜索 WHOIS 数据以收集可操作的信息。威胁行为者可以使用在线资源或命令行实用程序，从 WHOIS 数据中挖掘潜在受害者的信息。来自这些来源的信息可能为其他形式的侦察（例如：[主动扫描](https://attack.mitre.org/techniques/T1595)或[信息网络钓鱼](https://attack.mitre.org/techniques/T1598)）、建立运营资源（例如：[获取基础设施](https://attack.mitre.org/techniques/T1583)或[攻陷基础设施](https://attack.mitre.org/techniques/T1584)）和/或初始访问（例如：[外部远程服务](https://attack.mitre.org/techniques/T1133)或[信任关系](https://attack.mitre.org/techniques/T1199)）揭示机会。