T1046: 网络服务发现

摘要

攻击者可能尝试获取在远程主机和本地网络基础设施设备上运行的服务的列表，包括那些可能易受远程软件利用影响的服务。获取此信息的常见方法包括使用被带入系统的工具进行端口、漏洞和/或字典扫描。(Citation: CISA AR21-126A FIVEHANDS May 2021) 在云环境中，攻击者可能尝试发现运行在其他云主机上的服务。此外，如果云环境连接到本地环境，攻击者可能也能够识别运行在非云系统上的服务。 在 macOS 环境中，攻击者可能使用原生 Bonjour 应用程序发现网络上其他 macOS 主机上运行的服务。Bonjour mDNSResponder 守护程序会自动在网络上注册并通告主机已注册的服务。例如，攻击者可以使用 mDNS 查询（例如 <code>dns-sd -B _ssh._tcp .</code>）查找广播 ssh 服务的其他系统。(Citation: apple doco bonjour description)(Citation: macOS APT Activity Bradley)