მთავარი დასკვნა
ლეგიტიმური ხელსაწყოს სახელი, მაგალითად PowerShell, WMI ან პროცესების მონიტორი, მის გამოყენებას არ ხსნის. ერთად შეამოწმეთ, ვინ გაუშვა ის, მისი მშობელი პროცესი და რესურსები და ჰოსტები, რომლებსაც მისწვდა.
განასხვავეთ სამი დაკავშირებული ცნება
არსებულ რესურსებზე დაყრდნობა (LOTL) ნიშნავს სისტემაში უკვე ხელმისაწვდომი ხელსაწყოებისა და სერვისების ბოროტად გამოყენებას. გვერდითი გადაადგილების მიზანია საწყისი შეღწევის შემდეგ სხვა მოწყობილობებსა და სერვერებზე წვდომა და მათი კონტროლი, შესაძლოა კომპრომეტირებული ანგარიშებით. პროცესების მანიპულაცია მოიცავს მეხსიერების, შესრულების ან პროცესებს შორის მოჩვენებითი კავშირების შეცვლას. ეს მავნე პროგრამების ოჯახები ან სინონიმები არ არის, თუმცა ერთ შეტევაში შეიძლება გაერთიანდეს.
პროცესის კონტექსტი მის სახელზე მეტს ამბობს
PowerShell, WMI, PsExec, WinRM და დისტანციური სამუშაო მაგიდა ლეგიტიმურ Windows‑ადმინისტრირებას ემსახურება. LD_PRELOAD‑სა და ptrace‑საც აქვს ლეგიტიმური Linux‑გამოყენება; მოულოდნელი გამოყენება და სისტემურ სერვისად შენიღბვის მცდელობები კონტექსტში გამოიკვლიეთ. DLL‑ინექციამ, პროცესის კოდის ჩანაცვლებამ (process hollowing) და შესრულების ნაკადის მიტაცებამ (thread hijacking) შეიძლება მეხსიერებასა და შესრულების მონაცემებში მტკიცებულებები დატოვოს. მშობელი პროცესის გაყალბებამ შეიძლება პროცესების ხეში კავშირები მცდარად წარმოაჩინოს. Process Hacker და System Informer ღია კოდის სისტემური მონიტორინგის ხელსაწყოებია; მხოლოდ სახელი მავნე აქტივობას არ ადგენს. შეამოწმეთ ფაილის წყარო, ხელმოწერა და დაფიქსირებული მოქმედებები.
ქსელში გადაადგილება ხილული გახადეთ
ერთ მოწყობილობამდე მიღწევის შემდეგ თავდამსხმელმა სხვებზე შეიძლება წვდომა მიიღოს მოპარული ანგარიშით, პაროლის ჰეშით, სუსტი უფლებით, შეუსწორებელი სერვისით ან გაზიარებული საქაღალდით. ბრძანებების დისტანციური შესრულება და ჩაშენებული ადმინისტრაციული ხელსაწყოები ჩვეულებრივ სამუშაოს შეიძლება ჰგავდეს, ამიტომ შეაგროვეთ ტელემეტრია, რომელიც მომხმარებლებს, მოწყობილობებსა და პროცესებს აკავშირებს. მოსალოდნელი წვდომის ნიმუშები შეადარეთ იშვიათ კავშირებს სამუშაო სადგურიდან სერვერამდე, ერთი ანგარიშის მრავალ შესვლას, უჩვეულო შვილობილ პროცესებს, ახალ სერვისებსა და მოულოდნელ გამავალ ტრაფიკს.
გადაამოწმეთ, შეზღუდეთ და განსაზღვრეთ ფარგლები
ჩართეთ პროცესის შექმნის, ბრძანების სტრიქონების, ავთენტიფიკაციის, ქსელური და ბოლო მოწყობილობის მოვლენების აღრიცხვა; ჩანაწერები დროით, ანგარიშითა და მოწყობილობით დააკავშირეთ. შეზღუდეთ ადმინისტრაციული პრივილეგიები და დისტანციური მართვა, გამოიყენეთ MFA, შეზღუდეთ კრიტიკულ ქსელურ სეგმენტებზე წვდომა და მოწყვლადობების გამოსასწორებლად დააყენეთ განახლებები. თუ გამოძიება პროცესის ან ანგარიშის მავნე გამოყენებაზე მიუთითებს, რეაგირების გეგმით მოახდინეთ მოწყობილობის იზოლაცია და სანდო მოწყობილობიდან შეცვალეთ დაზარალებული ავტორიზაციის მონაცემები. განსაზღვრეთ საწყისი შეღწევის გზა და სხვა სისტემები დაკავშირებულ მტკიცებულებებზე შეამოწმეთ. EDR‑ისა და SIEM‑ის გაფრთხილებები გამოძიებას იწყებს; ანალიტიკოსი მოქმედებებს ხელმისაწვდომი მტკიცებულებებისა და ინციდენტის ზემოქმედების მიხედვით ირჩევს.