Reconnaissance, eller underrättelseinhämtning, blivit en avgörande del av en angriparnas arsenal. Reconnaissance innefattar tekniker som möjliggör för angripare, både aktivt och passivt, att samla information som kan användas för att rikta in sig på specifika mål. Denna information kan inkludera detaljer om offrets organisation, infrastruktur eller personal.
Informationen som samlas kan sedan användas av angriparen för att underlätta andra faser i deras livscykel, såsom planering och genomförande av initial åtkomst, avgränsning och prioritering av mål efter en kompromettering, eller för att driva och leda ytterligare reconnaissance-insatser.
Tekniker för reconnaissance
- Aktiv skanning: Denna metod innebär att angriparen aktivt sonderar offrets infrastruktur genom nätverkstrafik. Det skiljer sig från andra former av reconnaissance som inte involverar direkt interaktion.
- Skanning av IP-block
- Sårbarhetsskanning
- Wordlist Skanning
- Insamling av information om offrets värd: Detaljer inkluderar administrativ data (t.ex. namn, tilldelad IP, funktionalitet) samt specifikationer om konfigurationen (t.ex. operativsystem, språk).
- Hårdvara
- Mjukvara
- Firmware
- Klientkonfigurationer
- Insamling av identitetsinformation om offret: Information kan inkludera personuppgifter (t.ex. anställdas namn, e-postadresser) samt känsliga uppgifter såsom inloggningsuppgifter.
- Inloggningsuppgifter
- E-postadresser
- Anställdas Namn
- Insamling av nätverksinformation: Detaljer inkluderar administrativ data (t.ex. IP-intervall, domännamn) samt specifikationer om topologi och operationer.
- Domänegenskaper
- DNS
- Nätverkstillitsberoenden
- Nätverkstopologi
- IP-adresser
- Nätverkssäkerhetsenheter
- Insamling av organisationsinformation: Inkluderar detaljer som namn på divisioner/avdelningar, affärsoperationer, samt roller och ansvar för nyckelpersoner.
- Bestäm Fysiska Placeringar
- Affärsrelationer
- Identifiera Affärstempo
- Identifiera Roller
- Phishing för information: Metoden innebär att lura måltavlor att avslöja känslig information, ofta inloggningsuppgifter eller annan åtgärdbar information.
- Spearphishing service
- Spearphishing attachment
- Spearphishing link
- Spearphishing voice
- Sökning i slutna källor: Angripare kan söka och samla information om offer från slutna källor som kan användas under riktning. Information om offren kan köpas från både respektabla privata källor och databaser, liksom från mindre respektabla källor som mörk webb eller cyberbrottsmarknader.
- Hotintelligensleverantörer
- Köp av teknisk data
- Sökning i öppna tekniska databaser: Angripare kan söka i fritt tillgängliga tekniska databaser efter information om offer som kan användas under riktning. Information om offer kan finnas i online databaser och arkiv, såsom registreringar av domäner/certifikat samt offentliga samlingar av nätverksdata/artefakter samlade från trafik och
