T1020.001: 流量复制

摘要

攻击者可能利用流量镜像，以在被入侵的基础设施上自动化数据外泄。流量镜像是一些设备的原生功能，常用于网络分析。例如，设备可配置为将网络流量转发到一个或多个目标，以供网络分析器或其他监控设备分析。 (Citation: Cisco Traffic Mirroring)(Citation: Juniper Traffic Mirroring) 攻击者可能滥用流量镜像，通过其控制的其他基础设施镜像或重定向网络流量。可能通过 [ROMMONkit](https://attack.mitre.org/techniques/T1542/004) 或[修补系统映像](https://attack.mitre.org/techniques/T1601/001)对网络设备进行恶意修改以实现流量重定向。(Citation: US-CERT-TA18-106A)(Citation: Cisco Blog Legacy Device Attacks) 许多基于云的环境也支持流量镜像。例如，AWS Traffic Mirroring、GCP Packet Mirroring 和 Azure vTap 允许用户定义要从中收集流量的指定实例，以及要将收集到的流量发送到的指定目标。(Citation: AWS Traffic Mirroring)(Citation: GCP Packet Mirroring)(Citation: Azure Virtual Network TAP) 攻击者可能根据其目标和目的，将流量复制与[网络嗅探](https://attack.mitre.org/techniques/T1040)、[输入捕获](https://attack.mitre.org/techniques/T1056)或[中间人攻击](https://attack.mitre.org/techniques/T1557)结合使用。