对手可以嗅探网络流量，以捕获相关环境信息，包括通过网络传递的身份验证材料。网络嗅探是指使用系统上的网络接口来监视或捕获通过有线或无线连接发送的信息。对手可以将网络接口置于混杂模式，以被动地访问通过网络传输的数据，或使用跨端口捕获更多数据。

        通过这种技术捕获的数据可能包括用户凭证，特别是那些通过不安全的、未加密的协议发送的。名称解析服务的技术，如LLMNR/NBT-NS Poisoning和SMB Relay，还可以通过将流量重定向到对手来捕获到网站、代理和内部系统的凭证。

        网络嗅探还可以显示配置细节，如运行服务、版本号和其他网络特征(如IP地址、主机名、VLAN id)，这些都是后续横向移动和/或防御规避活动所必需的。

完整列表请戳“阅读原文”

       检测导致嗅探网络流量的事件可能是最好的方法。从主机层面来看，对手可能需要对有线网络上的其他设备执行中间对手攻击，以捕获不是来自当前被破坏系统的流量。监视ARP欺骗和免费ARP广播。检测被破坏的网络设备可能有点困难，需要审计管理员登录、配置更改和设备映像来检测恶意更改。

**参考来源：ATT&CK，胖头鱼编译，欢迎转载，转载请注明出处，非常感谢~~