T1686: 禁用或修改系统防火墙

摘要

攻击者可能禁用或修改基于主机或网络的防火墙，以损害防御机制并促成进一步行动。一旦攻击者获得足够的权限，他们就可以篡改防火墙服务、策略或规则集，以移除对入站或出站流量的限制。例如，这可能包括关闭防火墙配置文件、修改现有规则以允许先前被阻止的端口或协议，或添加创建隐蔽通信路径的新规则（例如，为众所周知的协议（如 RDP）添加使用非传统且可能安全性较低的端口的新防火墙规则）。(Citation: change_rdp_port_conti) 攻击者可能使用不同的行为来禁用或修改防火墙，具体取决于平台。例如，在 ESXi 中，防火墙规则可能通过 esxcli（例如，通过 esxcli network firewall set）或通过 vCenter 用户界面直接修改。(Citation: Broadcom ESXi Firewall)(Citation: Trellix Rnasomhouse 2024)