T1040: 网络嗅探

摘要

攻击者可能被动嗅探网络流量，以捕获有关环境的信息，包括通过网络传递的身份验证材料。网络嗅探是指使用系统上的网络接口监视或捕获通过有线或无线连接发送的信息。攻击者可以将网络接口置于混杂模式，以被动访问网络中传输的数据，或使用镜像端口（span port）捕获更大量的数据。 通过此技术捕获的数据可能包括用户凭据，尤其是通过不安全、未加密协议发送的凭据。名称服务解析投毒技术（例如[名称解析投毒和 SMB 中继](https://attack.mitre.org/techniques/T1557/001)）也可用于通过将流量重定向到攻击者来捕获发往网站、代理和内部系统的凭据。 网络嗅探可能揭示配置细节，例如运行中的服务、版本号以及其他网络特征（例如 IP 地址、主机名、VLAN ID），这些是后续[横向移动](https://attack.mitre.org/tactics/TA0008)和/或[隐蔽](https://attack.mitre.org/tactics/TA0005)活动所必需的。攻击者还可能在[中间人攻击](https://attack.mitre.org/techniques/T1557)（AiTM）期间利用网络嗅探，以被动地获取有关环境的额外知识。 在基于云的环境中，攻击者仍可能使用流量镜像服务来嗅探来自虚拟机的网络流量。例如，AWS Traffic Mirroring、GCP Packet Mirroring 和 Azure vTap 允许用户定义要从中收集流量的指定实例，以及要将收集到的流量发送到的指定目标。(Citation: AWS Traffic Mirroring)(Citation: GCP Packet Mirroring)(Citation: Azure Virtual Network TAP) 通常，由于在负载均衡器级别使用 TLS 终止以减少加解密流量的负担，其中大部分流量将处于明文状态。(Citation: Rhino Security Labs AWS VPC Traffic Mirroring)(Citation: SpecterOps AWS Traffic Mirroring) 随后攻击者可以使用诸如将数据传输到云账户等数据外泄技术来访问被嗅探的流量。(Citation: Rhino Security Labs AWS VPC Traffic Mirroring) 在网络设备上，攻击者可以使用 `monitor capture` 等[网络设备 CLI](https://attack.mitre.org/techniques/T1059/008) 命令执行网络捕获。(Citation: US-CERT-TA18-106A)(Citation: capture_embedded_packet_on_software)