Internet Connection Discovery (T1016.001)

一句话通俗理解

Internet Connection Discovery就是测试系统能不能连上互联网。

30秒速查卡

难度等级

⭐ 初级 - 需要一定的技术基础和实践经验

前置知识检查

读这个文件需要什么？

• 网络枚举基础（IP/端口/协议）
• 系统信息查询命令
• Active Directory基本概念

技术描述

通俗解释：

过渡段： 不要以为信息发现只是’看看系统里有什么’——这是攻击者绘制’内部地图’的关键阶段。从系统信息到网络拓扑，从用户列表到安全策略配置，每一条信息都被拼接到攻击者的’全景图’中，为后续的横向移动和权限提升铺路。 测试系统能不能连上互联网

🗺️ 打个比方：就像入侵者拿到大楼的网络布线图——查看网络配置，知道内网的拓扑结构和出口位置。

技术原理： T1016.001 是 系统网络配置发现（T1016）的子技术，专注于Internet Connection Discovery这一特定方面。攻击者在发现阶段，通过Internet Connection Discovery来获取目标系统或组织的相关信息，为后续攻击步骤做准备。

用途与影响：

• 为后续攻击提供关键信息支撑
• 提高攻击的成功率和精准度
• 降低攻击被发现的概率

真实攻击流程

典型场景

graph TD
    A["恶意载荷执行网络检测"] --> B["执行ping 8.8.8.8测试连通性"]
    B --> C["检查系统代理配置"]
    C --> D["测试DNS解析能力"]
    D --> E{"是否可访问互联网?"}
    E -->|"可联网"| F["连接C2服务器接收指令"]
    E -->|"无法联网"| G["切换为离线攻击模式"]
    style F fill:#ff6b6b,stroke:#333,stroke-width:2px
    style E fill:#ffa500,stroke:#333,stroke-width:2px

步骤详解：

1. 连通性测试：执行 ping 或 curl 测试是否能到达公网 IP，判断系统是否联网
2. 代理检测：查询注册表或环境变量中的代理配置，分析网络出入口路径
3. DNS 测试：尝试解析外部域名，验证 DNS 服务是否可用且未被劫持
4. 环境判定：综合判断系统是否在隔离环境中（如气隙网络），决定后续通信策略
5. C2 连接：确认可联网后，尝试连接预配置的 C2 服务器建立命令控制通道

攻击流程

graph LR
    A[载荷启动与环境判定<br/>恶意代码执行后判断联网需求] --> B[ICMP连通性测试<br/>ping 8.8.8.8检测出口可达性]
    B --> C[代理配置与DNS探测<br/>查询Proxy设置和DNS解析能力]
    C --> D[C2端点回连验证<br/>尝试连接C2域名/CDN前置]
    D --> E[攻击模式决策<br/>联网则建立C2/无网则离线降级]
    
    style A fill:#4a90e2
    style E fill:#ff6b6b

关键步骤说明：

1. 载荷启动与环境判定: 恶意载荷在目标系统获得执行权限后立即进入网络环境探测阶段，根据预设逻辑判断当前是否需要建立外网C2通信——常见触发条件包括载荷首次落地、横向移动后抵达新主机、休眠唤醒等，同时检查进程上下文和系统时区避免在分析环境中暴露。
2. ICMP连通性测试: 通过 ping 8.8.8.8、ping 1.1.1.1 或自定义ICMP Echo请求测试目标系统是否能够到达公网IP，结合TTL值变化判断是否经过NAT/代理，Linux环境使用 curl -s -o /dev/null -w "%{http_code}" 探测HTTP出站能力，规避企业防火墙对ICMP的限制。
3. 代理配置与DNS探测: 读取Windows注册表 HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings 下的ProxyEnable和ProxyServer键值，检查 HTTP_PROXY/HTTPS_PROXY 环境变量，使用 nslookup 解析外部域名（如 google.com、microsoft.com）验证DNS服务可用性及是否被DNS Sinkhole劫持。
4. C2端点回连验证: 尝试HTTPS连接到预配置的C2域名或合法CDN前置（如Cloudflare Fronted域名、GitHub Raw URL、Azure CDN），使用自定义User-Agent和URI路径区分感染回信，部分载荷采用Domain Fronting技术将真实C2流量伪装为合法CDN通信，规避DPI检测。
5. 攻击模式决策: 若连通性测试全部通过，载荷建立C2信道接收指令并上传已收集的本地信息；若检测到气隙隔离或DNS Sinkhole，载荷切换为离线模式——执行本地信息收集、配置持久化机制、等待U盘等可移动介质传播，或潜伏至网络环境变化后再尝试回连。

真实案例

1. 确定目标 - 明确要攻击的组织或个人
2. 选择Internet Connection Discovery方法 - 根据目标特点选择最有效的收集方法
3. 执行Internet Connection Discovery操作 - 使用相应的工具和技术进行信息收集
4. 整理和分析信息 - 对收集到的数据进行分类和验证
5. 利用信息进行下一步攻击 - 基于收集到的信息制定后续攻击计划

真实案例

案例1：APT组织使用Internet Connection Discovery进行攻击准备

• 时间: 2023-2024年
• 目标: 多行业目标组织
• 攻击组织: 多个APT组织
• 手法: 攻击者在攻击初期大量使用Internet Connection Discovery技术收集目标信息，为后续定向攻击做准备
• 影响: 攻击成功率显著提高，防御者难以及时发现侦察行为
• 参考链接: MITRE ATT&CK - T1016.001

案例2：红队演练中的Internet Connection Discovery应用

• 时间: 2024-2025年
• 目标: 授权测试的企业客户
• 攻击组织: 红队团队
• 手法: 在授权的红队演练中，Internet Connection Discovery被用于模拟真实攻击者的信息收集行为，测试企业安全监控体系能否及时发现侦察活动
• 影响: 帮助企业发现信息暴露面和安全监控盲区
• 参考链接: 红队演练报告（内部资料）

红队视角

⚠️ 免责声明：以下内容仅用于合法的安全测试、渗透测试和教育目的。未经授权对他人系统进行测试是违法行为。

实战技巧

1. 隐蔽优先：在发现阶段使用被动方式收集信息，避免触发安全告警
2. 信息验证：对收集到的信息进行交叉验证，确保准确性和时效性
3. 工具选择：根据目标环境选择合适的工具，避免使用已被广泛检测的工具
4. OPSEC意识：使用匿名网络、临时环境进行操作，防止溯源

常用工具

注意事项

• 仅在授权范围内使用Internet Connection Discovery技术
• 注意操作的隐蔽性，避免被蓝队发现
• 记录操作日志，用于后续分析和报告编写

蓝队视角

检测要点

1. 异常信息收集行为：监控来自内部系统的异常数据查询和收集行为
2. 可疑工具使用：检测与Internet Connection Discovery相关的工具在内部网络中的使用
3. 异常网络流量：监控对外部信息收集平台的可疑网络连接
4. 权限异常：关注非授权用户的信息收集和查询行为

监控建议

• 部署信息收集行为的检测规则
• 建立基准行为模型，及时发现异常
• 定期审计敏感信息的访问记录

避坑指南

检测难点：发现阶段命令很多是合法管理操作。

检测建议

网络层检测

检测方法： 监控与Internet Connection Discovery相关的网络流量特征

具体规则/命令示例：

# 监控异常DNS查询
tcpdump -i eth0 port 53 | grep -E "可疑域名"

主机层检测

Windows事件ID：

• 事件ID 4688：可疑进程创建
• 事件ID 4104：PowerShell脚本块日志

Linux日志：

• 日志文件：/var/log/syslog
• 关键字段：可疑命令执行

应用层检测

用人话说： 这条Sigma规则在监控Windows系统中是否有人在执行网络连通性测试命令。正常情况下，只有IT人员才会频繁ping公网IP地址。如果非IT人员的电脑上出现大量ping 8.8.8.8或curl外部URL的记录，说明有人可能在测试网络出口，为后续C2通信做准备。简单说，谁家办公人员会没事ping谷歌DNS？

Sigma规则示例：

title: 检测Internet连接发现命令
status: experimental
description: 检测非IT主机执行ping/curl/nslookup测试公网连通性的行为
logsource:
    category: process_creation
    product: windows
detection:
    selection_tool:
        Image|endswith:
            - '\ping.exe'
            - '\curl.exe'
            - '\nslookup.exe'
            - '\powershell.exe'
    selection_target:
        CommandLine|contains:
            - '8.8.8.8'
            - '1.1.1.1'
            - '114.114.114.114'
            - 'Test-NetConnection'
            - 'Invoke-WebRequest'
    filter_admin:
        User|contains:
            - 'admin'
            - 'SYSTEM'
    condition: selection_tool and selection_target and not filter_admin
level: medium
tags:
    - attack.discovery
    - attack.t1016.001

缓解措施

优先级1：关键措施

措施名称： 敏感信息保护

具体实施步骤：

1. 识别和分类组织内的敏感信息
2. 对敏感信息实施访问控制和加密
3. 部署信息泄露防护（DLP）解决方案

优先级2：重要措施

措施名称： 员工安全意识培训

具体实施步骤：

1. 定期开展信息安全意识培训
2. 教育员工识别社交工程攻击
3. 建立信息报告和响应机制

优先级3：建议措施

措施名称： 安全配置加固

具体实施步骤：

1. 限制公开可访问的系统信息
2. 配置合适的日志记录和告警策略
3. 定期进行安全评估和渗透测试

动手实验

⚠️ 重要提示：所有实验必须在隔离的实验室环境中进行，禁止对未授权的真实系统进行测试。

实验环境准备

推荐靶场/实验平台：

所需工具：

• 根据具体技术需求准备相应工具

环境搭建：

# 准备隔离的实验环境
# 具体命令根据实验内容而定

实验1：基础实践（初级）

实验目标： 理解和练习Internet Connection Discovery的基本操作

实验步骤：

1. 在隔离环境中搭建实验系统
2. 按照技术描述执行基本操作
3. 观察和记录实验现象

预期结果： 成功完成Internet Connection Discovery的基本操作

学习要点： 理解Internet Connection Discovery的原理和操作方法

术语解释

被引用情况

以下父技术文档引用了本子技术：

• T1016 - 系统网络配置发现

参考资料

📚 官方文档（深入了解）

• MITRE ATT&CK - T1016
• MITRE ATT&CK - T1016.001
• MITRE ATT&CK - T1016.001 检测

📰 安全报告（真实攻击）

• CISA Known Exploited Vulnerabilities
• Microsoft Security Blog

学习资源

• MITRE ATT&CK 官方文档
• ATT&CK STIX Data