Der Erstzugriff ist oft nur die erste Phase eines Eindringens. Nachdem ein Angreifer auf einem Server oder Endpunkt Code ausführen kann, versucht er möglicherweise, einen Mechanismus zu schaffen, der Neustarts überlebt, später wieder eine Verbindung herstellt oder fortgesetzten Zugriff ermöglicht.
Die Quelle definiert eine plattformübergreifende Persistenzsuche, die gängige Windows- und Linux-Mechanismen abdeckt.
Windows-Persistenzmechanismen
Der Windows-Teil überwacht die Ausführung von:
schtasks.exe;sc.exe;reg.exe;wmic.exe.
Anschließend sucht sie nach Befehlszeilenmustern im Zusammenhang mit Aufgabenerstellung, Ergänzungen der Registrierungsdatenbank, Ausführung, Änderungen am ImagePath von Diensten oder RunOnce-Aktivität.
Überwachung dateibasierter Persistenz
Der zweite Teil nutzt die Dateiintegritätsüberwachung, um Änderungen in folgenden Bereichen zu erkennen:
/etc/cron.d/;/var/spool/cron/;SSH
authorized_keys;Windows-Autostart;
System32\Tasks.
Erkennungsabfrage
(data.win.system.eventID:1 and data.win.eventdata.image:(*\schtasks.exe or *\sc.exe or *\reg.exe or *\wmic.exe) and data.win.eventdata.commandLine:(*create* or *add* or *run* or *ImagePath* or *RunOnce*)) or (rule.groups: syscheck and syscheck.event: (added or modified) and syscheck.path:(*/etc/cron.d/* or */var/spool/cron/* or */.ssh/authorized_keys or *\Start*Menu\Programs\Startup\* or *\System32\Tasks\*))
Die Quelle verzeichnete 509 Ergebnisse in den vorangegangenen 30 Tagen.
Warum Persistenz schwer zu erkennen ist
Jeder Mechanismus in der Abfrage hat auch legitime administrative Einsatzzwecke. Geplante Aufgaben führen Datensicherungen und Wartung aus. Dienste werden durch Softwareinstallationen erstellt. Cron-Aufträge unterstützen Linux-Betrieb. Autorisierte SSH-Schlüssel können Teil der normalen Zugriffsverwaltung sein.
Der Sicherheitswert ergibt sich daraus, unerwartete Änderungen zu erkennen, anstatt den Mechanismus selbst als bösartig einzustufen.
Untersuchungsablauf
Prüfen Sie für jeden Treffer:
erstellender Prozess;
Benutzer- oder Dienstkonto;
genaue Befehlszeile;
Zielaufgabe, Dienst, Wert der Registrierungsdatenbank, Cron-Datei oder SSH-Schlüssel;
Zeitstempel im Verhältnis zu anderer verdächtiger Aktivität;
Hostrolle;
ob das Persistenzobjekt später tatsächlich ausgeführt wurde.
Persistenz, die unmittelbar nach einem RCE- oder verdächtigen Shell-Ereignis erstellt wird, sollte höher priorisiert werden.
Abstimmung der Regel
Erstellen Sie eine Basislinie bekannter geplanter Aufgaben, Dienste, Cron-Aufträge und administrativer Schlüssel.
Konzentrieren Sie sich dann auf:
neue Namen;
ungewöhnliche Pfade ausführbarer Dateien;
benutzerbeschreibbare Verzeichnisse;
kodierte oder verschleierte Befehle;
seltene Konten;
Ausführung außerhalb von Änderungsfenstern.
Vermeiden Sie es, einen gesamten Mechanismus global auszuschließen.
Korrelationsmöglichkeiten
Diese Suche kann mit anderen Erkennungen in der Quelle kombiniert werden, darunter:
Shell-Ausführung auf dem Webserver;
Umgehung von Schutzmaßnahmen;
Reverse Shells;
Auslesen von Anmeldedaten;
Vorbereitung von Ransomware.
Eine Abfolge aus erster Ausführung und anschließender Persistenz liefert ein deutlich stärkeres Bild des Vorfalls.
Betrieblicher Nutzen
Die Jagd nach Persistenz ist nützlich, da sie Angreiferaktivität auch dann aufdecken kann, wenn das ursprüngliche Ausnutzungsereignis bereits vorbei ist.
Durch die Überwachung sowohl befehlsbasierter als auch dateibasierter Persistenzmechanismen können Verteidiger Versuche erkennen, temporären Zugriff in dauerhafte Kontrolle zu verwandeln.
