T1049: 系统网络连接发现

摘要

攻击者可能尝试通过向网络查询信息，获取其当前所访问的受感染系统或远程系统的入站或出站网络连接列表。 获得对云环境中某系统访问权限的攻击者可能会梳理虚拟私有云或虚拟网络，以确定有哪些系统和服务处于连接状态。根据操作系统的不同，所执行的操作很可能是同类型的发现技术，但所得信息可能包含与攻击者目标相关的联网云环境细节。不同云提供商的虚拟网络运行方式可能有所不同。(Citation: Amazon AWS VPC Guide)(Citation: Microsoft Azure Virtual Network Overview)(Citation: Google VPC Overview) 同样，获得对网络设备访问权限的攻击者也可能执行类似的发现活动，以收集有关已连接系统和服务的信息。 用于获取此类信息的实用工具和命令包括 [netstat](https://attack.mitre.org/software/S0104)、"net use"，以及配合 [Net](https://attack.mitre.org/software/S0039) 使用的 "net session"。在 Mac 和 Linux 中，可以使用 [netstat](https://attack.mitre.org/software/S0104) 和 <code>lsof</code> 列出当前连接。<code>who -a</code> 和 <code>w</code> 可用于显示当前登录的用户，类似于 "net session"。此外，还可以使用网络设备自带的特性和 [Network Device CLI](https://attack.mitre.org/techniques/T1059/008)（例如 <code>show ip sockets</code>、<code>show tcp brief</code>）。(Citation: US-CERT-TA18-106A) 在 ESXi 服务器上，可以使用命令 `esxi network ip connection list` 列出活动网络连接。(Citation: Sygnia ESXi Ransomware 2025)