进程披露

攻击者可能试图获取系统运行的进程信息。所获得的信息可用于了解在网络系统上运行的通用软件。

Windows

获取进程详细信息的示例命令是"tasklist"，使用了 Tasklist 实用程序。

Mac 和 Linux

在 Mac 和 Linux 中，使用 ps 命令完成。

缓解

识别可能用于获取进程信息的不必要的系统实用程序或潜在的恶意软件，并在适当的情况下使用白名单工具（如 AppLocker、或软件限制策略 ) 审计和/或拦截它们。

检测

由于攻击者了解环境，系统和网络披露技术通常可以发生在整个操作过程中。不应孤立地查看数据和事件，而应将其视为可能导致其他活动的行为链的一部分，例如基于所获得的信息的横向移动。

看似进程披露的正常的、良性的系统和网络事件可能并不常见，这取决于环境和使用它们的方式。监视可以收集系统和网络信息的进程和命令行参数的操作。具有内置功能的远程访问工具可以直接与 Windows
API 交互以收集信息。信息也可以通过 Windows 系统管理工具获取，如 Windows 管理规范和 PowerShell。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn