Analityk bezpieczeństwa próbuje uruchomić serwer bazy danych firmy. Kiedy serwer się uruchamia, analityk otrzymuje komunikat o błędzie wskazujący, że serwer bazy danych nie przeszedł uwierzytelnienia. Po przejrzeniu i przetestowaniu systemu analityk otrzymuje potwierdzenie, że serwer został skompromitowany i że atakujący przekierowali cały wychodzący ruch bazy danych na serwer pod ich kontrolą. Której z poniższych technik MITRE ATT&CK atakujący najprawdopodobniej użył do przekierowania ruchu bazy danych?

Prawidłowe konta to technika MITRE ATT&CK (T1078), w której atakujący wykorzystują legalne dane uwierzytelniające (nazwy użytkowników i hasła) do uzyskania dostępu do systemów i usług. W tym scenariuszu, aby przekierować ruch bazy danych, atakujący musieli uzyskać dostęp do serwera bazy danych lub powiązanych systemów kontrolujących routing, co najprawdopodobniej osiągnęli za pomocą skradzionych lub złamanych danych uwierzytelniających. Rozszerzenie przeglądarki (T1176) dotyczy manipulacji przeglądarkami internetowymi, co nie ma bezpośredniego zastosowania do przekierowywania ruchu serwera bazy danych. Wstrzykiwanie procesu (T1055) to technika wykonywania kodu w kontekście innego procesu, a Ucieczka do hosta (T1614) dotyczy wyjścia z kontenera lub maszyny wirtualnej, aby uzyskać dostęp do systemu hosta. Żadna z tych technik nie opisuje bezpośrednio sposobu przekierowania ruchu sieciowego bazy danych za pomocą zhakowanego serwera.