Trusted Design
Adversaries may attempt to exploit a weakness in an Internet-facing host or system to initially access a network. The weakness in the system can be a software bug, a temporary glitch, or a misconfiguration.
Exploited applications are often websites/web servers, but can also include databases (like SQL), standard services (like SMB or SSH), network device administration and management protocols (like SNMP and Smart Install), and any other system with Internet-accessible open sockets.(Citation: NVD CVE-2016-6662)(Citation: CIS Multiple SMB Vulnerabilities)(Citation: US-CERT TA18-106A Network Infrastructure Devices 2018)(Citation: Cisco Blog Legacy Device Attacks)(Citation: NVD CVE-2014-7169) On ESXi infrastructure, adversaries may exploit exposed OpenSLP services; they may alternatively exploit exposed VMware vCenter servers.(Citation: Recorded Future ESXiArgs Ransomware 2023)(Citation: Ars Technica VMWare Code Execution Vulnerability 2021) Depending on the flaw being exploited, this may also involve Exploitation for Stealth or Exploitation for Client Execution.
If an application is hosted on cloud-based infrastructure and/or is containerized, then exploiting it may lead to compromise of the underlying instance or container. This can allow an adversary a path to access the cloud or container APIs (e.g., via the Cloud Instance Metadata API), exploit container host access via Escape to Host, or take advantage of weak identity and access management policies.
Adversaries may also exploit edge network infrastructure and related appliances, specifically targeting devices that do not support robust host-based defenses.(Citation: Mandiant Fortinet Zero Day)(Citation: Wired Russia Cyberwar)
For websites and databases, the OWASP top 10 and CWE top 25 highlight the most common web-based vulnerabilities.(Citation: OWASP Top 10)(Citation: CWE top 25)
T1190「Exploit Public-Facing Application」（公開アプリケーションの悪用） は、インターネットからアクセス可能なサーバーやソフトウェアの脆弱性を突き、ネットワーク内への足がかりを得る非常に一般的な初期侵入手法です。
この手法で攻撃者は、「認証を介さない、または制限を回避した直接的なシステム侵入」を実現します。
攻撃者は、インターネット上に公開されている「隙」を見つけ出すことから始めます。
Shodan や Nmap などのツールを使用し、ターゲット企業が公開しているIPアドレス、ポート、サービス（Apache, Nginx, Microsoft Exchangeなど）を特定します。外部に公開している以上、攻撃を受ける前提での「脆弱性管理」と「多層防御」が必要です。
T1190に関連するCVEは、世間を騒がせる重大なものが多いのが特徴です。
Log4j の脆弱性。非常に多くの公開アプリケーションがこの影響を受け、広範囲で悪用されました。公開アプリケーションの脆弱性を利用した攻撃を受けた場合、Webサーバーのアクセスログ（access.log や error.log）に不自然な文字列や大量のエラーが記録されます。まずはそこを起点に調査を行うのが定石です。
この攻撃手法を利用する脅威アクターは登録されていません。
この攻撃手法に関連する CVE は登録されていません。