ATT&CK框架关于信息收集与资产梳理实战介绍

MITRE ATT&CK 是一个全球可访问的基于现实世界观察的攻击者战术和技术知识库。 ATT&CK 知识库被用作在私营部门、政府以及网络安全产品和服务社区中开发特定威胁模型和方法的基础。
通过统计发现，任何恶意攻击一定是以侦察作为前奏，不论是内网还是外网，信息收集一定是攻击者下的第一步棋。根据资料显示，侦察占据整个攻击过程的60%，由此可见，一个全面、精准的侦察在整个攻击里面的重要性。
ATT&CK框架中对于信息收集与资产梳理主要涉及战术为侦查战术。下面是对于侦查战术与其相关子技术的介绍。

侦察战术

侦察包括涉及攻击者主动或被动收集可用于支持目标定位的信息的技术。此类信息可能包括受害组织、基础设施或人员的详细信息。攻击者可以利用这些信息来帮助攻击者完成其他工作，例如使用收集的信息来计划和执行初始访问、确定入侵目标的范围和优先级，或者推动进一步的侦察工作。

侦察战术包含10个技术：

下面我们逐一介绍这10个技术内容。

1.主动扫描

攻击者可能会执行主动侦察扫描，以收集可用于锁定目标的信息。主动扫描是指攻击者通过网络流量探测目标基础设施的扫描，与不涉及直接交互的其他形式的侦察相反。
主动扫描包含三个子技术，下面将对各个子技术进行介绍以及子技术涉及到的工具：

• 1、扫描IP段： 攻击者可能会扫描目标的IP地址段，以收集可用于锁定目标的信息。公共IP地址可以按块或一系列连续地址分配给组织。
• 2、漏洞扫描： 攻击者可能会扫描目标的漏洞，以便在锁定目标时加以利用。漏洞扫描通常会检查目标主机/应用程序的配置(例如软件和版本)是否与攻击者可能寻求利用的特定漏洞的目标一致。
• 3、目录扫描： 攻击者可能会使用暴力破解和爬行技术反复探测基础设施。虽然这种技术采用类似蛮力的方法来探测，它的目标是识别内容和基础结构，而不是发现有效的凭据。这些扫描中使用的单词表可能包含通用的、常用的名称和文件扩展名，或者特定软件专用的术语。攻击者也可能使用从其他侦察技术(例如:[收集目标组织信息]，或者[搜索目标拥有的网站]).

2.收集目标主机信息

攻击者可能会收集有关目标主机的信息，这些信息可在锁定目标时使用。关于主机的信息可能包括各种详细信息，包括管理数据(例如:名称、分配的IP、功能等。)以及关于其配置的细节(例如:操作系统、语言等。).

攻击者可能通过各种方式收集这些信息，例如通过以下方式直接收集信息主动扫描或者信息网络钓鱼。攻击者也可能危害网站，然后包含旨在从访问者那里收集主机信息的恶意内容。[1]关于主机的信息也可能通过在线或其他可访问的数据集暴露给攻击者(例如:社会化媒体或者搜索目标拥有的网站).收集这些信息可能会发现其他形式的侦察机会(例如:搜索开放的网站/域或者搜索开放的技术数据库)，建立运营资源(例如:发展能力或者获得能力)，或初始访问(例如:供应链妥协或者外部远程服务).

• 1、主机硬件信息搜集
  攻击者可能会收集有关目标主机硬件的信息，这些信息可用于攻击目标。有关硬件基础架构的信息可能包括各种详细信息，例如特定主机上的类型和版本，以及是否存在可能表明增加了防御保护的其他组件(例如:卡/生物识别读卡器、专用加密硬件等)。
• 2、主机软件信息搜集
  攻击者可能会收集目标主机软件的信息，这些信息可在攻击目标时使用。有关已安装软件的信息可能包括各种详细信息，例如特定主机上的类型和版本，以及是否存在其他组件，这些可能表明增加了防御保护(例如:防病毒软件、SIEMs等)。
  攻击者可能通过各种方式收集这些信息，例如通过以下方式直接收集信息主动扫描(例如:端口扫描、服务器标题)或信息网络钓鱼。攻击者也可能危害网站，然后包含旨在从访问者那里收集主机信息的恶意内容。关于已安装软件的信息也可能通过在线或其他可访问的数据集暴露给攻击者(例如:职位发布、网络地图、评估报告、简历或购买发票)。收集这些信息可能会发现其他形式的侦察机会(例如:搜索开放的网站/域或者搜索开放的技术数据库)，建立运营资源，用于初始访问(例如:供应链妥协或者外部远程服务).
• 3、主机固件信息
  攻击者可能会收集目标主机固件的信息，这些信息可用于攻击目标。关于主机固件的信息可以包括各种细节，例如特定主机上的类型和版本，其可以用于推断关于环境中的主机的更多信息(例如:配置、用途、年龄/补丁级别等）。
  攻击者可以通过各种方式收集这些信息，例如通过以下方式直接获取信息网络钓鱼。有关主机固件的信息只能通过在线或其他可访问的数据集(例如:招聘公告、网络地图、评估报告、简历或购买发票)暴露给攻击者。收集这些信息可能会发现其他形式的侦察机会(例如:搜索开放的网站/域或者搜索开放的技术数据库)，建立运营资源(例如:发展能力或者获得能力)，或初始访问(例如:供应链妥协或者开发面向公众的应用
• 4、客户端配置信息
  攻击者可能会收集有关目标客户端配置的信息，这些信息可以在定位期间使用。有关客户端配置的信息可能包括各种详细信息和设置，包括操作系统/版本、虚拟化、架构（例如：32 位或 64 位）、语言或时区。
  有关客户端配置的信息也可