T1070.007: 清除网络连接历史记录和配置

摘要

攻击者可能清除或移除恶意网络连接的证据，以清理其操作的痕迹。配置设置以及突显连接历史的各种痕迹可能会因需要网络连接的行为(如 [Remote Services](https://attack.mitre.org/techniques/T1021) 或 [External Remote Services](https://attack.mitre.org/techniques/T1133))而在系统和/或应用程序日志中创建。防御者可能使用这些痕迹来监控或以其他方式分析攻击者创建的网络连接。 网络连接历史可能存储在各种位置。例如，RDP 连接历史可能存储在以下 Windows 注册表值中(Citation: Microsoft RDP Removal)： * <code>HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default</code> * <code>HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers</code> Windows 还可能将有关最近 RDP 连接的信息存储在诸如 <code>C:\Users\%username%\Documents\Default.rdp</code> 和 `C:\Users\%username%\AppData\Local\Microsoft\Terminal Server Client\Cache\` 之类的文件中。(Citation: Moran RDPieces)类似地，macOS 和 Linux 主机可能在系统日志(如存储在 `/Library/Logs` 和/或 `/var/log/` 中的日志)中存储突显连接历史的信息。(Citation: Apple Culprit Access)(Citation: FreeDesktop Journal)(Citation: Apple Unified Log Analysis Remote Login and Screen Sharing) 恶意网络连接还可能需要对第三方应用程序或网络配置设置进行更改，例如 [Disable or Modify System Firewall](https://attack.mitre.org/techniques/T1686) 或篡改以启用 [Proxy](https://attack.mitre.org/techniques/T1090)。攻击者可能删除或修改这些数据以隐藏迹象和/或阻碍防御分析。