T1087: 账户发现

摘要

攻击者可能尝试获取系统上或受感染环境中有效账户、用户名或电子邮件地址的列表。此信息可以帮助攻击者确定存在哪些账户，从而有助于后续行为，例如暴力破解、鱼叉式网络钓鱼攻击或账户接管(例如 [Valid Accounts](https://attack.mitre.org/techniques/T1078))。 攻击者可能使用几种方法来枚举账户，包括滥用现有工具、内置命令以及可能在目标环境中泄露账户名称和角色或权限的错误配置。 例如，云环境通常提供易于访问的接口来获取用户列表。(Citation: AWS List Users)(Citation: Google Cloud - IAM Servie Accounts List API)在主机上，攻击者可以使用默认 [PowerShell](https://attack.mitre.org/techniques/T1059/001) 和其他命令行功能来识别账户。有关电子邮件地址和账户的信息也可以通过搜索受感染系统的文件来提取。