डिटेक्शन (डिस्कवरी)

सभी भागों के लिंक:

भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

प्राप्त होने के बाद, प्रारंभिक समझौते के परिणामस्वरूप, सिस्टम तक पहुंच, विरोधी को "चारों ओर देखना चाहिए", यह समझें कि अब वह नियंत्रित करता है कि उसके पास क्या अवसर हैं और क्या सामरिक या अंतिम लक्ष्य को प्राप्त करने के लिए पर्याप्त वर्तमान पहुंच है। हमले के इस चरण को "डिस्कवरी" (इंजी। डिस्कवरी - "वैज्ञानिक खोज", "प्रकटीकरण", "एक्सपोज़र") कहा जाता है।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री की एक निःशुल्क रीटेलिंग है।

ऑपरेटिंग सिस्टम में कई बिल्ट-इन टूल होते हैं, जिनके साथ प्रतिकूल समझौता होने के बाद हमलावर नेटवर्क की आंतरिक परिधि का अध्ययन कर सकता है। विंडोज में, विंडोज एपीआई, डब्लूएमआई और पॉवरशेल कार्यक्षमता के साथ प्रत्यक्ष बातचीत का उपयोग सूचना एकत्र करने के लिए किया जा सकता है।

एक हमलावर हमले के वातावरण का अध्ययन करते समय पहचान विधियों का उपयोग करता है, इसलिए, इस तरह की गतिविधि की पहचान को हमले श्रृंखला का हिस्सा माना जाना चाहिए, इसके बाद नेटवर्क के माध्यम से दुश्मन को आगे बढ़ाने का प्रयास किया जाता है।

संरक्षित प्रणालियों में उपर्युक्त गतिविधि की पहचान करने के उद्देश्य से एक उपाय के रूप में, यह अनुशंसा की जाती है कि प्रक्रियाओं और कमांड लाइन तर्कों की निगरानी की जाए जो किसी सिस्टम या नेटवर्क के बारे में जानकारी के संग्रह के दौरान उपयोग की जा सकती हैं। संरक्षित प्रणाली और नेटवर्क की अनधिकृत आंतरिक जांच की संभावना को रोकने के लिए एक सामान्य सिफारिश अनावश्यक सिस्टम उपयोगिताओं और संभावित खतरनाक सॉफ़्टवेयर की उपस्थिति का ऑडिट करने के लिए है जो कि संरक्षित पर्यावरण का अध्ययन करने और उनके लॉन्च को अवरुद्ध करने के लिए उपकरणों का उपयोग करने के लिए हो सकता है, उदाहरण के लिए, AppLocker या सॉफ़्टवेयर प्रतिबंध नीतियां (सॉफ़्टवेयर प्रतिबंध) नीतियाँ)।

खाता खोज

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: हमलावर स्थानीय सिस्टम या डोमेन पर खातों की एक सूची प्राप्त करने का प्रयास कर सकते हैं।

विंडोज
खाता जानकारी प्राप्त करने के लिए, नेट या Dsquery उपयोगिताओं का उपयोग किया जा सकता है:
net user
net group
net localgroup
dsquery user
dsquery group

एक हमलावर सिस्टम ओनर / यूजर डिस्कवरी का उपयोग प्राथमिक उपयोगकर्ता, सिस्टम के वर्तमान उपयोगकर्ता, या आमतौर पर सिस्टम का उपयोग करने वाले उपयोगकर्ताओं के एक समूह को खोजने के लिए कर सकता है।

मैक
मैक पर, उपयोगकर्ता समूहों को समूह और आईडी कमांड का उपयोग करके प्राप्त किया जा सकता है। उपयोगकर्ता समूहों और उपयोगकर्ताओं को भी निम्न आदेशों का उपयोग करके सूचीबद्ध किया जा सकता है:
dscl . list /Groups
dscacheutile -q group

लिनक्स
लिनक्स पर, स्थानीय उपयोगकर्ताओं को / etc / passwd फ़ाइल से प्राप्त किया जा सकता है, जो सभी उपयोगकर्ताओं द्वारा पठनीय है। Mac पर, उसी फ़ाइल का उपयोग केवल / -user मोड में /etc/master.passwd फ़ाइल के अलावा किया जाता है। इसके अलावा, लिनक्स पर समूह और आईडी कमांड भी उपलब्ध हैं।

सुरक्षा की सिफारिशें: यूएसी के माध्यम से विशेषाधिकारों को ऊंचा करते समय प्रशासक खातों को सूचीबद्ध करने की संभावना को रोकें, क्योंकि इससे व्यवस्थापक खाते के नामों का खुलासा होगा। GPO का उपयोग करके संबंधित रजिस्ट्री कुंजी को अक्षम किया जा सकता है:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\CredUI\
EnumerateAdministrators

GPO: Computer Configuration > [Policies] > Administrative Templates > Windows Components > Credential User Interface: Enumerate administrator accounts on elevation.

एप्लीकेशन विंडो डिस्कवरी

सिस्टम: विंडोज, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: हमलावर अनुप्रयोगों द्वारा खोली गई खिड़कियों की सूची प्राप्त करने का प्रयास कर सकते हैं। इस तरह की सूचियों से संकेत मिल सकता है कि वहां किस तरह से सिस्टम का इस्तेमाल किया जाता है या कीगलर द्वारा एकत्रित की गई जानकारी के संदर्भ में खोज की जाती है। एक मैक पर, यह एक छोटी AppleScript स्क्रिप्ट के साथ किया जा सकता है।

ब्राउज़र बुकमार्क डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: किसी संभावित प्रणाली के बारे में अधिक से अधिक जानकारी प्राप्त करने के लिए, हमलावर उपयोगकर्ता के ब्राउज़र बुकमार्क की जांच कर सकते हैं। बुकमार्क उपयोगकर्ताओं के बारे में व्यक्तिगत जानकारी (उदाहरण के लिए, बैंकिंग साइट, व्यक्तिगत रुचियां, सामाजिक नेटवर्क आदि) प्रकट कर सकते हैं, साथ ही साथ नेटवर्क के आंतरिक संसाधनों के बारे में जानकारी - सर्वर, उपकरण, डैशबोर्ड और अन्य अवसंरचना तत्व। एक विरोधी एक ब्राउज़र में कैश की गई क्रेडेंशियल्स का उपयोग उन उपयोगकर्ता सेवाओं तक पहुंच प्राप्त करने के लिए कर सकता है जिनके पते ब्राउज़र बुकमार्क में संग्रहीत हैं। बुकमार्क के लिए संग्रहण स्थान प्लेटफ़ॉर्म और अनुप्रयोगों और OS की बारीकियों पर निर्भर करते हैं। ब्राउज़र बुकमार्क आमतौर पर स्थानीय फ़ाइलों या डेटाबेस के रूप में संग्रहीत होते हैं।

सुरक्षा सिफारिशें: यह देखते हुए कि फाइलों में जानकारी संग्रहीत करना ओएस की एक मानक विशेषता है, इस गतिविधि को दबाने का प्रयास अनुचित होगा। उदाहरण के लिए, ब्राउज़र बुकमार्क फ़ाइलों तक पहुंच को प्रतिबंधित करने से अनपेक्षित साइड इफेक्ट्स और वैध सॉफ़्टवेयर को बाधित करने की संभावना है। एक हमले के पहले चरणों में एक हमलावर के उपकरण और उपकरणों के प्रक्षेपण को रोकने की दिशा में रक्षा प्रयासों को निर्देशित किया जाना चाहिए।

फ़ाइल और निर्देशिका डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: हमलावर फ़ाइलों और निर्देशिकाओं को सूचीबद्ध कर सकते हैं या मेजबान या साझा नेटवर्क संसाधनों पर विशिष्ट स्थानों में विशिष्ट जानकारी के लिए खोज कर सकते हैं।

विंडोज
फ़ाइलों और निर्देशिकाओं के बारे में जानकारी प्राप्त करने के लिए उपयोगिताओं के उदाहरण dir और पेड़ हैं । विंडोज एपीआई के साथ प्रत्यक्ष बातचीत के माध्यम से कस्टम टूल का उपयोग फ़ाइलों और निर्देशिकाओं के बारे में जानकारी एकत्र करने के लिए भी किया जा सकता है।

लिनक्स और macOS
Linux और macOS पर, ब्राउज़िंग फ़ाइलें और निर्देशिकाएँ ls का उपयोग करके की जाती हैं , खोजें और कमांड का पता लगाएं ।

सुरक्षा सिफारिशें: यह देखते हुए कि फाइलों और निर्देशिकाओं के रूप में सूचनाओं की प्रस्तुति ओएस की एक मानक विशेषता है, इस गतिविधि को दबाने का प्रयास अनुचित होगा। एक हमले के पहले चरणों में एक हमलावर के उपकरण और उपकरणों के प्रक्षेपण को रोकने की दिशा में रक्षा प्रयासों को निर्देशित किया जाना चाहिए।

नेटवर्क सेवा स्कैनिंग

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: प्रशासक, प्रणाली
विवरण: हमलावर दूरस्थ होस्ट पर चलने वाली सेवाओं की एक सूची प्राप्त करने का प्रयास कर सकते हैं, जिनमें वे भी शामिल हैं जो रिमोट एक्सेस टूल के लिए असुरक्षित हो सकते हैं। इस तरह की जानकारी प्राप्त करने के तरीकों में सिस्टम में डाउनलोड किए गए टूल का उपयोग करके स्कैनिंग पोर्ट और कमजोरियां शामिल हैं।

सुरक्षा युक्तियाँ : रिमोट स्कैन का पता लगाने और रोकने के लिए आईडीएस / आईपीएस सिस्टम का उपयोग करें। सुनिश्चित करें कि अनावश्यक पोर्ट बंद हैं, अप्रयुक्त सेवाएं बंद हैं, और महत्वपूर्ण सर्वर और उपकरणों की सुरक्षा के लिए उचित नेटवर्क विभाजन का सम्मान किया जाता है।

नेटवर्क शेयर डिस्कवरी

सिस्टम: विंडोज, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: स्थानीय नेटवर्क में, अक्सर साझा नेटवर्क ड्राइव और फ़ोल्डर्स होते हैं जो उपयोगकर्ताओं को विभिन्न प्रणालियों पर स्थित फ़ाइल निर्देशिकाओं के नेटवर्क निर्देशिका तक पहुंचने की अनुमति देते हैं। हमलावर साझा नेटवर्क फ़ोल्डर और दूरस्थ सिस्टम पर ड्राइव के लिए लक्ष्य डेटा स्रोतों की खोज कर सकते हैं और नेटवर्क पर आगे आंदोलन के लिए संभावित प्रणालियों की पहचान कर सकते हैं।

विंडोज
Windows नेटवर्क पर फ़ाइल साझाकरण SMB प्रोटोकॉल का उपयोग करके किया जाता है। नेट उपयोगिता का उपयोग दूरस्थ नेटवर्क से इसमें साझा नेटवर्क ड्राइव की उपस्थिति के बारे में जानकारी प्राप्त करने के लिए किया जा सकता है: net view \remotesystem
या स्थानीय सिस्टम पर साझा नेटवर्क ड्राइव के बारे में जानकारी प्राप्त करें: net share ।

मैक
मैक पर, स्थानीय रूप से माउंट किए गए नेटवर्क शेयरों को कमांड के साथ देखा जा सकता है: df -aH ।

नेटवर्क सूँघना

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक हमलावर नेटवर्क इंटरफ़ेस का उपयोग प्रोमिसकॉस मोड ("अप्राप्य" मोड) में कर सकता है, जिसमें नेटवर्क कार्ड सभी पैकेट को स्वीकार करेगा, जिन्हें वे संबोधित किए गए हैं या वायर्ड पोर्ट्स (मिरर पोर्ट) का उपयोग करने के लिए वायर्ड पर प्रेषित डेटा की एक बड़ी मात्रा पर कब्जा करने के लिए। या वायरलेस नेटवर्क।

सूँघने के दौरान पकड़े गए डेटा में एन्क्रिप्शन प्रोटोकॉल का उपयोग किए बिना असुरक्षित कनेक्शन पर भेजे गए क्रेडेंशियल्स हो सकते हैं। नेटवर्क नाम सेवाओं जैसे एलएलएमएनआर / एनबीटी-एनएस जहर को पुनर्निर्देशित करके विषाक्तता का उपयोग विभिन्न वेबसाइटों, प्रमाणों और आंतरिक प्रणालियों पर क्रेडेंशियल एकत्र करने के लिए भी किया जा सकता है। एक नेटवर्क को सुनते समय, एक विरोधी नेटवर्क पर आगे की आवाजाही और / या सुरक्षा सुविधाओं को दरकिनार करने के लिए आवश्यक विभिन्न कॉन्फ़िगरेशन जानकारी (रनिंग सर्विसेज, वर्जन नंबर, आईपी एड्रेस, होस्टनाम, वीएलएएन आईडी आदि) भी प्रकट कर सकता है।

सुरक्षा युक्तियाँ: सुनिश्चित करें कि वायरलेस ट्रैफ़िक ठीक से एन्क्रिप्ट किया गया है। यदि संभव हो, तो Kerberos, SSL और बहु-कारक प्रमाणीकरण का उपयोग करें। स्पैन पोर्ट, ARP / DNS विषाक्तता और अनधिकृत राउटर कॉन्फ़िगरेशन परिवर्तनों के लिए नेटवर्क स्विच की निगरानी करें। संभावित खतरनाक सॉफ़्टवेयर को पहचानने और अवरुद्ध करने के लिए उपकरणों का उपयोग करें जिनका उपयोग नेटवर्क ट्रैफ़िक को अवरोधन और विश्लेषण करने के लिए किया जा सकता है।

पासवर्ड नीति डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: नेटवर्क पर एक पासवर्ड नीति उन जटिल पासवर्डों का उपयोग करने के लिए गारंटीकृत उपयोगकर्ताओं का एक तरीका है जो जानवर बल द्वारा अनुमान या दरार करना मुश्किल है। एक हमलावर नेटवर्क की पासवर्ड नीति सेटिंग्स के बारे में जानकारी प्राप्त करने का प्रयास कर सकता है ताकि नीति की आवश्यकताओं को पूरा करने वाले सामान्य प्रसिद्ध पासवर्डों की एक सूची बनाई जा सके (उदाहरण के लिए, यदि नीति में 8 वर्णों की न्यूनतम पासवर्ड लंबाई है, तो पासपास जैसे पासवर्डों का उपयोग करने का प्रयास न करें या 3- से अधिक की जांच न करें। 4 पासवर्ड प्रति खाता, यदि असफल प्रयासों की संख्या 6 के बराबर है) और पासवर्ड के शब्दकोश चयन की बाद की शुरुआत। पासवर्ड नीतियों को विंडोज, लिनक्स और मैकओएस दोनों पर लागू और पता लगाया जा सकता है।

विंडोज
net accounts
net accounts /domain

लिनक्स
chage -l
cat /etc/pam.d/comman-password

MacOS
pwpolicy getaccountpolicies

सुरक्षा सिफारिशें: पासवर्ड नीति की पहचान को रोकने के लिए सीधे प्रयास करने की अनुशंसा नहीं की जाती है, क्योंकि पासवर्ड नीति सेटिंग्स को नेटवर्क के सभी सिस्टम और उपयोगकर्ताओं को पता होना चाहिए। सुनिश्चित करें कि आपके द्वारा उपयोग की जाने वाली पासवर्ड नीति से बल के पासवर्ड को भंग करना मुश्किल हो जाता है और उन पासवर्डों के उपयोग की अनुमति नहीं देता है जो बहुत हल्के हैं। कॉरपोरेट नेटवर्क पर पासवर्ड नीति लागू करने का सबसे आम तरीका सक्रिय निर्देशिका को लागू करना है।

यदि दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए कोई कार्य है, तो टूल और कमांड लाइन तर्कों के लिए प्रक्रियाओं की निगरानी करें जो पासवर्ड नीति की पहचान करने के प्रयासों का संकेत देते हैं। उपयोगकर्ता या व्यवस्थापक के कार्यों से संबंधित एक झूठी घटना की संभावना को कम करने के लिए स्रोत प्रणाली की अन्य संदिग्ध गतिविधियों के साथ इस गतिविधि का मिलान करें। आक्रमणकारी प्रारंभिक समय में पासवर्ड नीति के मापदंडों की पहचान करने के लिए हमले के शुरुआती चरणों में या पहचान और समीक्षा चरण की अन्य तकनीकों के उपयोग के साथ संयोजन के रूप में प्रयास करेंगे।

परिधीय उपकरण डिस्कवरी

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: हमलावर हमलावर नेटवर्क में कंप्यूटर से जुड़ी बाह्य उपकरणों के बारे में जानकारी एकत्र करने का प्रयास कर सकते हैं। इस जानकारी का उपयोग हमले के वातावरण के बारे में जागरूकता बढ़ाने के लिए किया जा सकता है और आगे दुर्भावनापूर्ण कार्यों की योजना बनाने में इसका उपयोग किया जा सकता है।

अनुमति समूह डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: हमलावर स्थानीय या डोमेन एक्सेस समूहों को खोजने और उनकी अनुमति सेटिंग्स की जांच करने की कोशिश कर सकते हैं।

विंडोज
आप नेट उपयोगिता का उपयोग करके समूहों तक पहुँच सकते हैं:
net group /domain
ner localgroup

लिनक्स
लिनक्स पर, स्थानीय समूहों को समूह कमांड का उपयोग करके गणना की जा सकती है, डोमेन समूह को ldapsearch कमांड का उपयोग करके गणना की जा सकती है।

MacOS
मैक पर, आप निम्न आदेशों के साथ ऐसा कर सकते हैं:
dscacheutil -q - डोमेन समूहों के लिए;
dscl . -list /Groups dscl . -list /Groups - स्थानीय समूहों के लिए।

प्रक्रिया डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: विरोधियों को सिस्टम से चल रही प्रक्रियाओं के बारे में जानकारी प्राप्त करने की कोशिश कर सकते हैं ताकि हमला नेटवर्क के सिस्टम पर चल रहे सॉफ़्टवेयर के बारे में जानकारी प्राप्त कर सकें।

विंडोज
विंडोज में प्रक्रियाओं के बारे में जानकारी प्राप्त करने का एक उदाहरण टास्कलिस्ट सिस्टम उपयोगिता है।

मैक और लिनक्स
Mac और Linux पर, यह ps कमांड का उपयोग करके किया जाता है।

क्वेरी रजिस्ट्री

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: सिस्टम, कॉन्फ़िगरेशन और स्थापित सॉफ़्टवेयर के बारे में जानकारी एकत्र करने के लिए हमलावर Windows रजिस्ट्री के साथ बातचीत कर सकते हैं। रजिस्ट्री में ऑपरेटिंग सिस्टम, कॉन्फ़िगरेशन, सॉफ़्टवेयर और सुरक्षा के बारे में महत्वपूर्ण मात्रा में जानकारी होती है। कुछ जानकारी हमलावर नेटवर्क में आगे के संचालन को आगे बढ़ाने में मदद कर सकती हैं। रजिस्ट्री के साथ सहभागिता विभिन्न उपयोगिताओं का उपयोग करके हो सकती है, उदाहरण के लिए, Reg, या Windows API का उपयोग करने वाले तृतीय-पक्ष उपकरण चलाकर।

रिमोट सिस्टम की खोज (रिमोट सिस्टम डिस्कवरी)

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: विरोधी शायद हमला नेटवर्क में सिस्टम की एक सूची प्राप्त करने की कोशिश करेंगे। रिमोट सिस्टम को आईपी पते, होस्ट नाम या अन्य पहचानकर्ता द्वारा पता लगाया जा सकता है, जिसे बाद में वर्तमान सिस्टम से नेटवर्क पर एक हमलावर को आगे बढ़ाने के लिए इस्तेमाल किया जा सकता है। संबंधित कार्यक्षमता को रिमोट एक्सेस टूल (आरएटी) में शामिल किया जा सकता है, और एम्बेडेड सिस्टम उपयोगिताओं का भी उपयोग किया जा सकता है।

विंडोज
पिंग या शुद्ध दृश्य आदेश।

मैक
ब्रॉडकास्ट डोमेन के भीतर मैक सिस्टम का पता लगाने के लिए बोनजौर प्रोटोकॉल का उपयोग किया जाता है। रिमोट सिस्टम के बारे में जानकारी इकट्ठा करने के लिए पिंग जैसी यूटिलिटीज का भी इस्तेमाल किया जा सकता है।

लिनक्स
रिमोट सिस्टम के बारे में जानकारी इकट्ठा करने के लिए पिंग जैसी यूटिलिटीज का भी इस्तेमाल किया जा सकता है।

सुरक्षा सॉफ्टवेयर डिस्कवरी

सिस्टम: विंडोज, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: हमलावर सिस्टम में स्थापित सुरक्षा सॉफ़्टवेयर, कॉन्फ़िगरेशन, सेंसर की सूची प्राप्त करने का प्रयास कर सकते हैं। एक प्रतिकूल लक्ष्य स्थानीय फ़ायरवॉल नियम, एंटीवायरस और वर्चुअलाइज़ेशन उपकरण जैसी चीजें हो सकती हैं। इन जांचों को एक हमले के शुरुआती चरणों में उपयोग किए जाने वाले रिमोट एक्सेस टूल (आरएटी) में एम्बेड किया जा सकता है।

विंडोज
सुरक्षा उपकरणों के बारे में जानकारी प्राप्त करने के लिए उपयोग किए जा सकने वाले आदेशों के उदाहरण हैं netsh, reg क्वेरी, dir, और कार्यसूची उपयोगिताओं , हालांकि, कुछ अन्य सुरक्षा उपकरणों का उपयोग कुछ सुरक्षा प्रणालियों की पहचान करने के लिए किया जा सकता है जो एक सहायक की तलाश में हैं।

मैक
मालवेयर की जांच करने का एक सामान्य तरीका है कि आप लिटिलस्निच और नॉककॉक का इस्तेमाल करें।

सिस्टम जानकारी डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: एक विरोधी वास्तुकला, संस्करण, पैच और स्थापित सर्विस पैक सहित ऑपरेटिंग सिस्टम और हार्डवेयर के बारे में विस्तृत जानकारी प्राप्त करने का प्रयास कर सकता है।

विंडोज
सिस्टम की जानकारी प्राप्त करने के लिए उपयोगिताओं के उदाहरण मौजूदा फाइलों और निर्देशिकाओं के आधार पर सिस्टम की जानकारी की पहचान के लिए ver, systeminfo और dir हैं ।

मैक
सिस्टमसेटअप कमांड विस्तृत सिस्टम जानकारी प्रदान करता है, लेकिन इसके लिए प्रशासनिक विशेषाधिकारों की आवश्यकता होती है। इसके अलावा, विशेषाधिकार की आवश्यकता के बिना कॉन्फ़िगरेशन, फ़ायरवॉल नियम, माउंटेड वॉल्यूम, हार्डवेयर, और कई अन्य चीजों का एक विस्तृत टूटना system_profiler द्वारा प्रदान किया जाता है ।

नेटवर्क कॉन्फ़िगरेशन मापदंडों की डिस्कवरी (सिस्टम नेटवर्क कॉन्फ़िगरेशन डिस्कवरी)

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: किसी हमलावर को नेटवर्क कॉन्फ़िगरेशन और सिस्टम पैरामीटर के बारे में विस्तृत जानकारी की तलाश होगी, जिसके पास उसकी पहुंच है या रिमोट सिस्टम के अध्ययन के माध्यम से। ऑपरेटिंग सिस्टम को संचालित करने के लिए डिज़ाइन किए गए कुछ उपयोगिताओं का उपयोग उपरोक्त जानकारी एकत्र करने के लिए किया जा सकता है। ऐसी उपयोगिताओं के उदाहरण: arp, ipconfig / ifconfig, nbtstat, path, tracert / tracerout , आदि।

नेटवर्क कनेक्शन की खोज (सिस्टम नेटवर्क कनेक्शन डिस्कवरी)

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: हमलावर किसी समझौता किए गए सिस्टम के इनकमिंग और आउटगोइंग नेटवर्क कनेक्शन की सूची प्राप्त करने का प्रयास कर सकते हैं, जिसके लिए उनके पास एक्सेस या रिमोट सिस्टम है, जो नेटवर्क पर जानकारी का अनुरोध करते हैं।

विंडोज
नेटवर्क कनेक्शन के बारे में जानकारी प्राप्त करने के लिए उपयोगिताएँ और कमांड:
Netstat
net use
net session

मैक और लिनक्स
वर्तमान कनेक्शन प्रदर्शित करने के लिए नेटस्टैट और lsof का उपयोग किया जा सकता है। " नेट सत्र " के समान, कौन और w यूटिलिटीज वर्तमान उपयोगकर्ताओं को लॉग इन कर सकते हैं।

सिस्टम ओनर / यूजर डिस्कवरी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: हमलावर सिस्टम के मुख्य उपयोगकर्ता की पहचान करने की कोशिश कर सकते हैं, वर्तमान उपयोगकर्ता जो वर्तमान में लॉग इन है, उन उपयोगकर्ताओं का समूह जो आमतौर पर सिस्टम का उपयोग करते हैं या यह निर्धारित करते हैं कि उपयोगकर्ता सिस्टम का कितना उपयोग कर रहा है। एक सलाहकार खाता खोज विधियों ("खाता खोज" तकनीक देखें) का उपयोग करके या क्रेडेंशियल डंपिंग विधियों का उपयोग करके उपरोक्त जानकारी प्राप्त कर सकता है। उपयोगकर्ता और उनके नाम के बारे में जानकारी पूरे सिस्टम में वितरित की जाती है - वे सत्र और सिस्टम लॉग के बारे में जानकारी, प्रक्रियाओं, फ़ाइलों और निर्देशिकाओं के मालिकों के बारे में जानकारी में शामिल हैं, इसलिए दुश्मन विभिन्न पहचान विधियों का उपयोग कर सकते हैं।
मैक में, वर्तमान उपयोगकर्ता को उपयोगिताओं उपयोगकर्ताओं, डब्ल्यू और कौन का उपयोग करके पहचाना जा सकता है। लिनक्स सिस्टम पर, केवल w और कौन के साथ ।

सिस्टम सर्विस डिस्कवरी

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक, प्रणाली
विवरण: एक हमलावर पंजीकृत सेवाओं के बारे में जानकारी प्राप्त करने का प्रयास कर सकता है। डेटा एकत्र करने के लिए, एक विरोधी विभिन्न उपकरणों का उपयोग कर सकता है, जिसमें अंतर्निहित उपयोगिताओं सहित जो सेवाओं के बारे में जानकारी प्राप्त कर सकते हैं:
sc
tasklist /svc
net start

सिस्टम टाइम डिस्कवरी

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: सिस्टम समय को डोमेन में सेट किया जाता है और एंटरप्राइज़ नेटवर्क पर सिस्टम और सेवाओं के बीच समय सिंक्रनाइज़ेशन सुनिश्चित करने के लिए विंडोज टाइम्स सर्विस द्वारा संग्रहीत किया जाता है। एक हमलावर स्थानीय या दूरस्थ प्रणाली से सिस्टम समय और / या समय क्षेत्र प्राप्त कर सकता है। यह जानकारी कई तरीकों से एकत्र की जा सकती है:
net time \\hostname - मेजबान सिस्टम समय प्राप्त करें;
w32tm /tz - समय क्षेत्र प्राप्त करना।
सिस्टम के समय की जानकारी दुश्मन के लिए विभिन्न आक्रमण विधियों का उपयोग करने के लिए उपयोगी हो सकती है, जैसे कि किसी निर्धारित कार्य के साथ फ़ाइल निष्पादित करना या, समय क्षेत्र के बारे में जानकारी के आधार पर, पीड़ित के स्थान को प्रकट करना।

सुरक्षा सिफारिशें: उच्च-गुणवत्ता वाले सॉफ़्टवेयर सिस्टम समय को इकट्ठा करने के लिए वैध प्रक्रियाओं का उपयोग करते हैं। सुरक्षा प्रयासों को सिस्टम में अवांछित या अज्ञात कोड के निष्पादन को रोकने के लिए निर्देशित किया जाना चाहिए। दूरस्थ प्रणाली से अनधिकृत पुनर्प्राप्ति को रोकने के लिए, सुरक्षा नीति जैसे नेट उपयोगिता जैसे उपकरण अवरुद्ध हो सकते हैं। कमांड लाइन मॉनिटरिंग सिस्टम समय और समय क्षेत्र को इकट्ठा करने के लिए उपयोग किए जाने वाले नेट। या अन्य उपयोगिताओं के उदाहरणों का पता लगाने के लिए उपयोगी हो सकता है। इन उद्देश्यों के लिए एपीआई कॉल की निगरानी इस तथ्य के कारण कम उपयोगी है कि एपीआई का उपयोग अक्सर वैध सॉफ़्टवेयर द्वारा किया जाता है।