Che cos'è la persistenza in un attacco informatico?

La persistenza è il modo in cui gli attaccanti mantengono l'accesso nonostante riavvii, cambi di password e bonifiche: nuovi account, attività pianificate e servizi, strumenti di accesso remoto installati come se fossero legittimi, web shell su server esposti a internet, impostazioni di VPN o firewall modificate e token di sessione rubati per i servizi cloud. La maggior parte della persistenza vive sugli host e nei sistemi di identità, quindi si trova con gli strumenti degli endpoint, le revisioni della directory e i confronti di configurazione. Controlli regolarmente se ci sono account amministratore che nessuno sa spiegare, software di accesso remoto che nessuno ha approvato e regole di inoltro nelle caselle di posta. La persistenza di solito ha bisogno di una connessione di ritorno verso l'attaccante, e questa si vede in rete: un host che continua a chiamare lo stesso server esterno, anche settimane dopo la chiusura di un incidente. NetSenX rileva questo beaconing in ogni piano.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi