Saldırganlar sunucuya girince ne yapıyor?What do attackers do once they get in?

Honeypot'larımızda yakalanan komutlar ve giriş denemeleri davranış etiketlerine ayrılır ve her etiket bir MITRE ATT&CK tekniğine bağlanır. Aşağıda son 30 günün görünümü var.Commands and login attempts captured on our honeypots are grouped into behaviour tags, each mapped to a MITRE ATT&CK technique. Below is the last 30 days.

Etiketler 6 saatte bir yeniden hesaplanır. "Günlük ortalama aktif IP", o etiketle görülen IP sayısının günlük ortalamasıdır. Önceki dönemde yeterli veri yoksa değişim yüzdesi gösterilmez. Kimlik bilgisi kaba kuvvet etiketi en az 3 farklı parola deneyen IP'lere verilir. Honeypot her parolayı kabul ettiği için bu, saldırganın bir parola listesi taradığını gösterir.Tags are recomputed every 6 hours. "Average daily active IPs" is the daily average of IPs seen with that tag. The change is hidden when the previous period has too little data. The credential brute force tag is given to IPs that tried at least 3 distinct passwords. Our honeypot accepts any password, so this shows the attacker cycling through a password list.