L'accesso iniziale è spesso solo la prima fase di un'intrusione. Dopo aver ottenuto l'esecuzione su un server o su un endpoint, un attaccante può tentare di creare un meccanismo che sopravviva ai riavvii, si riconnetta in seguito o fornisca un accesso continuo.
La fonte definisce una ricerca di persistenza multipiattaforma che copre i meccanismi comuni di Windows e Linux.
Meccanismi di persistenza di Windows
La parte Windows monitora l'esecuzione di:
schtasks.exe;sc.exe;reg.exe;wmic.exe.
Cerca quindi schemi della riga di comando legati alla creazione di attività, aggiunte al registro, esecuzione, modifiche all'ImagePath dei servizi o attività RunOnce.
Monitoraggio della persistenza basata su file
La seconda parte usa il monitoraggio dell'integrità dei file per individuare modifiche in:
/etc/cron.d/;/var/spool/cron/;SSH
authorized_keys;avvio di Windows;
System32\Tasks.
Query di rilevamento
(data.win.system.eventID:1 and data.win.eventdata.image:(*\schtasks.exe or *\sc.exe or *\reg.exe or *\wmic.exe) and data.win.eventdata.commandLine:(*create* or *add* or *run* or *ImagePath* or *RunOnce*)) or (rule.groups: syscheck and syscheck.event: (added or modified) and syscheck.path:(*/etc/cron.d/* or */var/spool/cron/* or */.ssh/authorized_keys or *\Start*Menu\Programs\Startup\* or *\System32\Tasks\*))
La fonte ha registrato 509 risultati nei 30 giorni precedenti.
Perché la persistenza è difficile da rilevare
Ogni meccanismo nella query ha anche usi amministrativi legittimi. Le attività pianificate eseguono backup e manutenzione. I servizi vengono creati dalle installazioni di software. Le attività cron supportano le operazioni Linux. Le chiavi SSH autorizzate possono far parte della normale gestione degli accessi.
Il valore per la sicurezza deriva dall'individuare modifiche inattese, non dal trattare il meccanismo stesso come dannoso.
Flusso di indagine
Per ogni corrispondenza, verifichi:
processo creatore;
account utente o di servizio;
riga di comando esatta;
attività, servizio, valore di registro, file cron o chiave SSH di destinazione;
timestamp rispetto ad altre attività sospette;
ruolo dell'host;
se l'oggetto di persistenza sia stato effettivamente eseguito in seguito.
La persistenza creata subito dopo un evento RCE o di shell sospetta dovrebbe ricevere priorità più alta.
Ottimizzazione della regola
Crei una baseline di attività pianificate, servizi, attività cron e chiavi amministrative noti.
Quindi si concentri su:
nuovi nomi;
percorsi di eseguibili insoliti;
cartelle scrivibili dall'utente;
comandi codificati o offuscati;
account rari;
esecuzione al di fuori delle finestre di change.
Eviti di escludere globalmente un intero meccanismo.
Opportunità di correlazione
Questa ricerca può essere combinata con altri rilevamenti della fonte, tra cui:
esecuzione di shell sul server web;
evasione delle difese;
reverse shell;
estrazione delle credenziali;
staging di ransomware.
Una sequenza di esecuzione iniziale seguita da persistenza fornisce una narrazione dell'incidente molto più solida.
Valore operativo
La ricerca della persistenza è utile perché può rivelare l'attività dell'attaccante anche dopo che l'evento di sfruttamento originale è terminato.
Monitorando sia i meccanismi di persistenza basati su comandi sia quelli basati su file, i difensori possono individuare i tentativi di trasformare un accesso temporaneo in un controllo duraturo.
