T1082: 系统信息发现

摘要

攻击者可能尝试获取有关操作系统和硬件的详细信息，包括版本、补丁、热修复、服务包和体系结构。攻击者可能使用此信息来塑造后续行为，包括攻击者是否完全感染目标以及/或尝试特定操作。此行为与 [Local Storage Discovery](https://attack.mitre.org/techniques/T1680) 不同，后者是攻击者对本地驱动器、磁盘和/或卷的发现。 [Systeminfo](https://attack.mitre.org/software/S0096) 等工具可用于收集详细的系统信息。如果以特权访问运行，可以通过 macOS 上的 <code>systemsetup</code> 配置工具收集系统数据的详细分解。攻击者可能利用网络设备上的 [Network Device CLI](https://attack.mitre.org/techniques/T1059/008) 收集详细的系统信息(例如 <code>show version</code>)。(Citation: US-CERT-TA18-106A)在 ESXi 服务器上，威胁行为者可能从各种 esxcli 实用程序收集系统信息，例如 `system hostname get` 和 `system version get`。(Citation: Crowdstrike Hypervisor Jackpotting Pt 2 2021)(Citation: Varonis) 基础设施即服务(IaaS)云提供商(如 AWS、GCP 和 Azure)允许通过 API 访问实例和虚拟机信息。成功的经过身份验证的 API 调用可以返回诸如特定实例的操作系统平台和状态或虚拟机的型号视图之类的数据。(Citation: Amazon Describe Instance)(Citation: Google Instances Resource)(Citation: Microsoft Virutal Machine API) [System Information Discovery](https://attack.mitre.org/techniques/T1082) 与其他形式发现和侦察收集的信息相结合，可以驱动载荷的开发和隐藏。(Citation: OSX.FairyTale)(Citation: 20 macOS Common Tools and Techniques)