T1654: 日志枚举

摘要

攻击者可能枚举系统和服务日志以寻找有用的数据。这些日志可能突出各种对攻击者有价值的信息，例如用户身份验证记录（[账户发现](https://attack.mitre.org/techniques/T1087)）、安全或存在漏洞的软件（[软件发现](https://attack.mitre.org/techniques/T1518)），或受感染网络内的主机（[远程系统发现](https://attack.mitre.org/techniques/T1018)）。 主机二进制文件可能被利用来收集系统日志。示例包括在 Windows 上使用 `wevtutil.exe` 或 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 访问和/或导出安全事件信息。(Citation: WithSecure Lazarus-NoPineapple Threat Intel Report 2023)(Citation: Cadet Blizzard emerges as novel threat actor) 在云环境中，攻击者可能利用 Azure VM Agent 的 `CollectGuestLogs.exe` 等实用程序从云托管基础设施收集安全日志。(Citation: SIM Swapping and Abuse of the Microsoft Azure Serial Console) 攻击者还可能针对集中式日志记录基础设施，如 SIEM。日志还可能被批量导出并发送到攻击者控制的基础设施进行离线分析。 除了更好地了解环境外，攻击者还可能实时监控日志以跟踪事件响应程序。这可能使他们能够调整其技术以维持持久化或规避防御。(Citation: Permiso GUI-Vil 2023)