T1021: 远程服务

摘要

攻击者可能使用[有效账户](https://attack.mitre.org/techniques/T1078)登录接受远程连接的服务，例如 telnet、SSH 和 VNC。随后攻击者可以以已登录用户的身份执行操作。 在企业环境中，服务器和工作站可以组织到域中。域提供集中式身份管理，允许用户使用一组凭据登录整个网络。如果攻击者能够获取一组有效的域凭据，就可以使用安全外壳（SSH）或远程桌面协议（RDP）等远程访问协议登录多台不同的机器。(Citation: SSH Secure Shell)(Citation: TechNet Remote Desktop Services) 他们还可以登录可访问的 SaaS 或 IaaS 服务（例如将其身份联合到域的服务），或内部虚拟化环境的管理平台（例如 VMware vCenter）。 合法应用程序（例如[软件部署工具](https://attack.mitre.org/techniques/T1072)和其他管理程序）可能利用[远程服务](https://attack.mitre.org/techniques/T1021)访问远程主机。例如，macOS 上的 Apple Remote Desktop（ARD）是用于远程管理的原生软件。ARD 利用多种协议的组合，包括用于发送屏幕和控制缓冲区的 [VNC](https://attack.mitre.org/techniques/T1021/005) 以及用于安全文件传输的 [SSH](https://attack.mitre.org/techniques/T1021/004)。(Citation: Remote Management MDM macOS)(Citation: Kickstart Apple Remote Desktop commands)(Citation: Apple Remote Desktop Admin Guide 3.3) 攻击者可以滥用 ARD 等应用程序来获得远程代码执行并进行横向移动。在 10.14 之前的 macOS 版本中，攻击者可以将 SSH 会话提升为 ARD 会话，使攻击者无需用户交互即可接受 TCC（透明度、同意和控制）提示并获得对数据的访问权限。(Citation: FireEye 2019 Apple Remote Desktop)(Citation: Lockboxx ARD 2019)(Citation: Kickstart Apple Remote Desktop commands)