ここで説明する活動は、初期アクセスが既に確立された後に行われ、永続性の維持、権限の昇格またはマッピング、および環境内の内部関係の調査に重点を置いています。これらの行動は、攻撃者がアクセスを固め、侵害されたクラウドテナント内でより詳細な偵察を行う、攻撃後の段階に特徴的なものです。

CEH v13 では、内部偵察中にルーティング トレースを行い、ディストリビューション スイッチ、ファイアウォール、コア ルーターなどの重要なインフラストラクチャ デバイスを特定することの重要性を強調しています。単一の IP アドレスが複数のネットワーク パスにわたって一貫して最後から 2 番目のホップとして現れる場合、これは通常、そのデバイスが VLAN 間またはサブネット間のルーティングを担当するコア ルーターとして機能していることを示しています。コア ルーターはさまざまなセグメントからのトラフィックを集約してからエンドポイント サブネットに転送するため、さまざまな宛先の前に表示される理由が説明できます。CEH では、コア インフラストラクチャを認識することの重要性を強調しています。なぜなら、このようなデバイスを侵害すると、攻撃者はネットワーク全体の通信に対する大きな可視性と潜在的な制御権を得ることができるからです。DNS ポイズニングは名前解決に影響を与え、ホップ パターンには影響を与えません。ループバックの設定ミスは、複数のセグメントではなく、単一のホストに影響を与えます。透過プロキシは、すべての traceroute テストではなく、アプリケーション レイヤーの検査を介してルーティングされたトラフィックに対してのみ表示されます。サブネット全体で一貫性があることは、集中ルーティング デバイスの存在を強く示唆しています。