Ein Sicherheitsanalyst versucht, den Datenbankserver eines Unternehmens zu starten. Beim Starten des Servers erhält der Analyst eine Fehlermeldung, die besagt, dass der Datenbankserver die Authentifizierung nicht bestanden hat. Nach Überprüfung und Test des Systems erhält der Analyst die Bestätigung, dass der Server kompromittiert wurde und dass Angreifer den gesamten ausgehenden Datenbankverkehr auf einen Server unter ihrer Kontrolle umgeleitet haben. Welche der folgenden MITRE ATT&CK-Techniken hat der Angreifer höchstwahrscheinlich verwendet, um den Datenbankverkehr umzuleiten?

Der Angreifer hat höchstwahrscheinlich die Technik „Valid Accounts“ (T1078) verwendet. Da der Datenbankserver die Authentifizierung nicht bestanden hat und der gesamte ausgehende Datenbankverkehr umgeleitet wurde, deutet dies darauf hin, dass der Angreifer gültige Anmeldeinformationen erlangt hat, um sich als legitimer Benutzer oder Dienst am Datenbankserver zu authentifizieren. Mit diesen kompromittierten Zugangsdaten konnte der Angreifer Konfigurationsänderungen vornehmen, um den Datenverkehr umzuleiten. „Browser extension“ (T1176) ist unwahrscheinlich, da es sich auf clientseitige Browser und nicht auf Datenbankserver bezieht. „Process injection“ (T1055) beinhaltet das Einschleusen von Code in einen laufenden Prozess, was zwar zur Umleitung von Datenverkehr genutzt werden könnte, aber die primäre Fehlermeldung der fehlgeschlagenen Authentifizierung weniger direkt erklärt. „Escape to host“ (T1610) ist eine Technik, die typischerweise in virtualisierten Umgebungen verwendet wird, um aus einem Container oder einer VM auszubrechen, was hier nicht direkt auf die Umleitung des Datenbankverkehrs nach einer fehlgeschlagenen Authentifizierung zutrifft.