Was bedeutet Ausführung (Execution) in MITRE ATT&CK?
Ausführung ist die Taktik, den Code des Angreifers auf einem System laufen zu lassen: ein Makro in einem Dokument, ein Skript, das ein getäuschter Benutzer startet, ein Befehl über ein Fernwartungswerkzeug oder eine geplante Aufgabe. Das geschieht im Host, also liegt auch die wichtigste Abwehr dort: Endpoint Detection and Response (EDREDR: Endpoint Detection and Response. Sicherheitssoftware auf jedem Rechner, die beobachtet, was auf diesem Gerät passiert.), Anwendungs-Allowlisting, blockierte Makros in Dateien aus dem Internet und eingeschränkte Skriptwerkzeuge für normale Benutzer. Ein Netzwerksensor sieht keinen Prozessstart. Er sieht die Folgen, die über das Netz laufen, und das reicht oft für einen Alarm: Das neue Programm lädt seine nächste Stufe herunter, ruft dann in regelmäßigen Abständen einen Server an, oder der Rechner beginnt, seine Nachbarn zu scannen. NetSenX erkennt das in jedem Plan; welches Programm auf dem Host es war, kann es nicht sagen, das ist eine Frage für Endpunktwerkzeuge.
Weiterlesen
Verwandte Fragen
Begriffe auf dieser Seite
- EDR (Endpoint Detection and Response)
- Sicherheitssoftware auf jedem Rechner, die beobachtet, was auf diesem Gerät passiert.