T1615: 组策略发现

摘要

攻击者可能收集有关组策略设置的信息，以识别权限提升的路径、域内应用的安全措施，并发现可被操纵或用于融入环境的域对象中的模式。组策略允许在 Active Directory（AD）中集中管理用户和计算机设置。组策略对象（GPO）是组策略设置的容器，由存储在一个可预测网络路径 `\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\` 中的文件组成。(Citation: TechNet Group Policy Basics)(Citation: ADSecurity GPO Persistence 2016) 攻击者可能使用诸如 <code>gpresult</code> 之类的命令或各种公开可用的 PowerShell 函数（如 <code>Get-DomainGPO</code> 和 <code>Get-DomainGPOLocalGroup</code>）来收集有关组策略设置的信息。(Citation: Microsoft gpresult)(Citation: Github PowerShell Empire) 攻击者可能使用这些信息来塑造后续行为，包括确定目标网络内的潜在攻击路径，以及为其自身利益操纵组策略设置（即[域或租户策略修改](https://attack.mitre.org/techniques/T1484)）的机会。