Czym jest utrzymanie dostępu (persistence) w cyberataku?

Utrzymanie dostępu to sposób, w jaki napastnicy zachowują dostęp mimo restartów, zmian haseł i sprzątania: nowe konta, zaplanowane zadania i usługi, narzędzia zdalnego dostępu zainstalowane tak, jakby były legalne, web shelle na serwerach wystawionych do internetu, zmienione ustawienia VPN lub firewalla oraz skradzione tokeny sesji do usług chmurowych. Większość mechanizmów utrzymania dostępu żyje na hostach i w systemach tożsamości, więc znajduje się je narzędziami ochrony punktów końcowych, przeglądami katalogu i porównywaniem konfiguracji. Regularnie sprawdzaj, czy nie ma kont administratora, których nikt nie umie wyjaśnić, oprogramowania zdalnego dostępu, którego nikt nie zatwierdził, i reguł przekierowania w skrzynkach pocztowych. Utrzymanie dostępu zwykle wymaga połączenia zwrotnego do napastnika, a to widać w sieci: host, który wciąż łączy się z tym samym zewnętrznym serwerem, nawet tygodnie po zamknięciu incydentu. NetSenX wykrywa taki beaconing w każdym planie.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy