Day26 ATT&CK for ICS - Collection(2)

T0877 I/O Image

PLC 的输入输出状态都会储存於 I/O Image，因此攻击者会针对 PLC 存取 I/O Image，输入端可能包含设备的温度高低、目前闸门的状态，这些资讯都会从设备的 input 输入端口传送 PLC 内部进行储存。

T0830 Man in the Middle

攻击者如果取得高权限的帐号，可能会根据这个帐号有的权限，去察看是否有能力可以拦截设备跟设备之间的传输流量。

中间人攻击可以监听、查看、修改封包内容，也可以达到 T0804 Block Reporting Message、T0856 Spoof Reporting Message、T0836 Modify Parameter、T0855 Unauthorized Command Message，四种攻击。

T0801 Monitor Process State

攻击者为了取得实体设备的状态，会透过协定 IEC 61850 发送请求，读取目标设备的状态，也会针对 OPC tag、历史资料、重要的 PLC 资讯与网路流量。