DESCRIPCIÓN.

Los atacantes buscan información de la red de la víctima como rangos de direcciones IP, nombres de dominio, topología, entre otras, para usarlas en etapas posteriores del ataque. Para conseguir esta información pueden utilizar técnicas como el ESCANEO ACTIVO (ACTIVE SCANNING), PHISHING u obtenerla de bases de datos abiertas y publicadas.

Esta información puede ser utilizada en otras técnicas de RECONOCIMIENTO (Search Open Websites/Domains), en tácticas de DESARROLLO DE RECURSOS OPERACIONALES (Acquire Infrastructure, Compromise Infrastructure) o en técnicas de ACCESO INICIAL (Trusted Relationship).

SUBTÉCNICAS.

Domain Properties: Las propiedades relevantes del dominio incluyen información sobre cuales dominios posee la víctima; datos administrativos del dominio como el nombre y la entidad Registrar (GoDaddy, Google Domains); información de contacto como emails, teléfonos, direcciones, etc.

DNS: La información sobre el Sistema de Nombres de Dominio facilita etapas posteriores como la redirección de sitios legítimos a sitios maliciosos (DNS Spoofing).

Network Trust Dependencies: Se trata de conseguir información sobre dominios o organizaciones de terceros que tienen acceso a la red de la víctima.

Network Topology: La información de la topología de la red se puede conseguir mediante el Escaneo Acivo (Active Scanning) y sirve para ser utilizada en etapas posteriores del ataque.

IP Addresses: La información de las direcciones IP se puede conseguir mediante el Escaneo Acivo (Active Scanning) o Phishing y sirve para ser utilizada en etapas posteriores del ataque.

Network Security Appliances: Conocer los dispositivos de seguridad le sirve a los atacantes para definir las técnicas, herramientas y software a utilizar en el ACCESO INICIAL. Se puede conseguir esta información mediante el Escaneo Acivo (Active Scanning) o Phishing.

CÓMO MITIGAR.

Cuando el ataque ocurre fuera del alcance y el control de la organización, se hace muy difícil mitigarlo. Se recomienda que los esfuerzos se enfoquen en reducir al mínimo la cantidad de información expuesta.

DETECCIÓN.

Las soluciones fuera del dominio de la empresa llevan a altas tasas de falsos positivos. Se recomienda enfocar los esfuerzos de detección en etapas posteriores del ciclo de ataque, como el ACCESO INICIAL.