T1599: 网络边界桥接

摘要

攻击者可能通过攻陷边界网络设备或负责网络分段的内部设备来桥接网络边界。突破这些设备可能使攻击者绕过原本用于隔离可信网络与不可信网络的流量路由限制。 路由器、防火墙等设备可用于在可信网络与不可信网络之间创建边界。它们通过限制流量类型来执行组织策略，以降低此类连接所固有的风险。流量限制可通过禁止 IP 地址、第 4 层协议端口，或通过深度包检测来识别应用程序来实现。为了与网络其余部分通信，这些设备可以是可直接寻址的或透明的，但其运行模式并不影响攻击者在攻陷设备后如何绕过它们。 当攻击者控制此类边界设备时，他们可以绕过其策略执行，在两个被隔离网络之间的信任边界上不受阻碍地传递通常被禁止的流量。通过在设备上获得足够的权限，攻击者可以重新配置设备以允许他们想要的流量，从而使他们能够进一步实现诸如通过[多跳代理](https://attack.mitre.org/techniques/T1090/003)进行命令与控制，或通过[流量复制](https://attack.mitre.org/techniques/T1020/001)外泄数据等目标。攻击者还可能针对负责网络分段的内部设备，并将其与[内部代理](https://attack.mitre.org/techniques/T1090/001)结合滥用来实现相同目标。(Citation: Kaspersky ThreatNeedle Feb 2021) 在边界设备隔开两个独立组织的情况下，攻击者还可以促成向新的受害者环境的横向移动。