Co oznacza wykonanie (execution) w MITRE ATT&CK?

Wykonanie to taktyka uruchomienia kodu napastnika w systemie: makra w dokumencie, skryptu uruchomionego przez oszukanego użytkownika, polecenia wysłanego przez narzędzie zdalnej administracji albo zaplanowanego zadania. Dzieje się to wewnątrz hosta, więc tam leży też główna obrona: system EDREDR: endpoint detection and response (ochrona punktów końcowych). Oprogramowanie bezpieczeństwa instalowane na każdym komputerze, które obserwuje, co dzieje się na tej maszynie. (endpoint detection and response), białe listy aplikacji, blokowanie makr w plikach z internetu i ograniczenie narzędzi skryptowych dla zwykłych użytkowników. Sensor sieciowy nie widzi startu procesu. Widzi skutki, które przechodzą przez sieć, i to często wystarcza, by podnieść alarm: nowy program pobiera kolejny etap, potem regularnie łączy się z serwerem albo maszyna zaczyna skanować sąsiadów. NetSenX wykrywa to w każdym planie; nie powie Ci, który program na hoście to zrobił, bo to pytanie do narzędzi ochrony punktów końcowych.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy