Discovery (тактика MITRE).

Discovery (тактика MITRE ATT&CK TA0007) описывает внутреннюю разведку, которую противник проводит после закрепления. Сюда входят перечисление учётных записей, выявление конфигурации систем и сети, перечисление доменных доверий, перечень файлов и каталогов, чтение закладок и хранилищ паролей браузера, обнаружение облачных сервисов и средств защиты, а также инструменты вроде BloodHound для построения путей атаки в Active Directory. Это преимущественно операции на чтение, которые трудно блокировать напрямую, но они оставляют характерные паттерны командной строки и API-вызовов. Защитники используют EDR, аудит командной строки, обман (honey-аккаунты/файлы) и детекторы для BloodHound, AdFind или сканов net.exe, чтобы поймать атакующего между первоначальным доступом и латеральным перемещением.