Initiële toegang is vaak slechts de eerste fase van een inbraak. Nadat code kan worden uitgevoerd op een server of endpoint, kan een aanvaller proberen een mechanisme te creëren dat herstarts overleeft, later opnieuw verbinding maakt of voortdurende toegang biedt.
De bron definieert een platformonafhankelijke persistentiezoekactie die gangbare Windows- en Linux-mechanismen dekt.
Windows-persistentiemechanismen
Het Windows-gedeelte monitort de uitvoering van:
schtasks.exe;sc.exe;reg.exe;wmic.exe.
Vervolgens zoekt ze naar opdrachtregelpatronen die verband houden met het aanmaken van taken, registertoevoegingen, uitvoering, wijzigingen van de ImagePath van services of RunOnce-activiteit.
Bewaking van bestandsgebaseerde persistentie
Het tweede deel gebruikt bestandsintegriteitsmonitoring om wijzigingen te identificeren onder:
/etc/cron.d/;/var/spool/cron/;SSH
authorized_keys;Windows Startup;
System32\Tasks.
Detectiequery
(data.win.system.eventID:1 and data.win.eventdata.image:(*\schtasks.exe or *\sc.exe or *\reg.exe or *\wmic.exe) and data.win.eventdata.commandLine:(*create* or *add* or *run* or *ImagePath* or *RunOnce*)) or (rule.groups: syscheck and syscheck.event: (added or modified) and syscheck.path:(*/etc/cron.d/* or */var/spool/cron/* or */.ssh/authorized_keys or *\Start*Menu\Programs\Startup\* or *\System32\Tasks\*))
De bron registreerde 509 resultaten in de afgelopen 30 dagen.
Waarom persistentie moeilijk te detecteren is
Elk mechanisme in de zoekopdracht heeft ook legitiem beheergebruik. Geplande taken voeren back-ups en onderhoud uit. Diensten worden aangemaakt door software-installaties. Cronjobs ondersteunen Linux-bewerkingen. Geautoriseerde SSH-sleutels kunnen deel uitmaken van normaal toegangsbeheer.
De beveiligingswaarde komt voort uit het identificeren van onverwachte wijzigingen, niet uit het behandelen van het mechanisme zelf als kwaadaardig.
Onderzoeksworkflow
Controleer voor elke treffer:
aanmakend proces;
gebruikers- of serviceaccount;
exacte opdrachtregel;
doeltaak, dienst, registerwaarde, cronbestand of SSH-sleutel;
tijdstempel ten opzichte van andere verdachte activiteit;
hostrol;
of het persistentieobject later daadwerkelijk is uitgevoerd.
Persistentie die direct na een RCE- of verdachte shellgebeurtenis wordt aangemaakt, moet een hogere prioriteit krijgen.
De regel afstemmen
Stel een referentiebasis op van bekende geplande taken, diensten, cronjobs en beheersleutels.
Richt u vervolgens op:
nieuwe namen;
ongebruikelijke paden van uitvoerbare bestanden;
door gebruikers beschrijfbare mappen;
gecodeerde of verhulde opdrachten;
zeldzame accounts;
uitvoering buiten wijzigingsvensters.
Vermijd het globaal uitsluiten van een volledig mechanisme.
Correlatiemogelijkheden
Deze zoekactie kan worden gecombineerd met andere detecties in de bron, waaronder:
shelluitvoering op de webserver;
omzeiling van beveiligingsmaatregelen;
reverse shells;
het dumpen van inloggegevens;
klaarzetten van ransomware.
Een reeks van initiële uitvoering gevolgd door persistentie levert een veel sterker incidentverhaal op.
Operationele waarde
Proactief zoeken naar persistentie is nuttig omdat het aanvallersactiviteit kan blootleggen, zelfs nadat de oorspronkelijke exploitgebeurtenis voorbij is.
Door zowel opdrachtgebaseerde als bestandsgebaseerde persistentiemechanismen te monitoren, kunnen verdedigers pogingen identificeren om tijdelijke toegang om te zetten in duurzame controle.
