T1018: 远程系统发现

摘要

攻击者可能尝试通过网络上的 IP 地址、主机名或其他逻辑标识符获取其他系统的列表，这些系统可能被用于从当前系统进行横向移动。远程访问工具中可能存在实现此功能的能力，但也可以使用操作系统上可用的实用程序，例如 [Ping](https://attack.mitre.org/software/S0097)、使用 [Net](https://attack.mitre.org/software/S0039) 的 <code>net view</code>，或在 ESXi 服务器上使用 `esxcli network diag ping`。 攻击者还可能分析来自本地主机文件的数据（例如 <code>C:\Windows\System32\Drivers\etc\hosts</code> 或 <code>/etc/hosts</code>）或其他被动手段（例如本地 [Arp](https://attack.mitre.org/software/S0099) 缓存条目），以发现环境中远程系统的存在。 攻击者还可能以发现网络基础设施为目标，并利用网络设备上的[网络设备 CLI](https://attack.mitre.org/techniques/T1059/008) 命令收集有关网络内系统的详细信息（例如 <code>show cdp neighbors</code>、<code>show arp</code>）。(Citation: US-CERT-TA18-106A)(Citation: CISA AR21-126A FIVEHANDS May 2021)