Accesul inițial este adesea doar prima etapă a unei intruziuni. După obținerea execuției pe un server sau endpoint, un atacator poate încerca să creeze un mecanism care supraviețuiește repornirilor, se reconectează ulterior sau oferă acces continuu.
Sursa definește o vânătoare de persistență multi-platformă care acoperă mecanisme comune Windows și Linux.
Mecanisme de persistență Windows
Partea Windows monitorizează execuția:
schtasks.exe;sc.exe;reg.exe;wmic.exe.
Apoi caută modele de linie de comandă legate de crearea de sarcini, adăugări în registru, execuție, modificări ale ImagePath al serviciilor sau activitate RunOnce.
Monitorizarea persistenței bazate pe fișiere
A doua parte utilizează monitorizarea integrității fișierelor pentru a identifica modificări sub:
/etc/cron.d/;/var/spool/cron/;SSH
authorized_keys;Windows Startup;
System32\Tasks.
Interogarea de detectare
(data.win.system.eventID:1 and data.win.eventdata.image:(*\schtasks.exe or *\sc.exe or *\reg.exe or *\wmic.exe) and data.win.eventdata.commandLine:(*create* or *add* or *run* or *ImagePath* or *RunOnce*)) or (rule.groups: syscheck and syscheck.event: (added or modified) and syscheck.path:(*/etc/cron.d/* or */var/spool/cron/* or */.ssh/authorized_keys or *\Start*Menu\Programs\Startup\* or *\System32\Tasks\*))
Sursa a înregistrat 509 rezultate în ultimele 30 de zile.
De ce persistența este dificil de detectat
Fiecare mecanism din interogare are, de asemenea, utilizări administrative legitime. Sarcinile programate rulează copii de rezervă și mentenanță. Serviciile sunt create de instalările de software. Joburile cron susțin operațiunile Linux. Cheile SSH autorizate pot face parte din gestionarea normală a accesului.
Valoarea de securitate provine din identificarea modificărilor neașteptate, mai degrabă decât din tratarea mecanismului în sine ca fiind rău intenționat.
Flux de lucru al investigării
Pentru fiecare potrivire, examinați:
procesul care creează;
contul de utilizator sau de serviciu;
linia de comandă exactă;
sarcina, serviciul, valoarea de registru, fișierul cron sau cheia SSH țintă;
momentul relativ la alte activități suspecte;
rolul gazdei;
dacă obiectul de persistență s-a executat efectiv ulterior.
Persistența creată imediat după un RCE sau un eveniment de shell suspect ar trebui să primească o prioritate mai mare.
Reglarea regulii
Creați o linie de bază a sarcinilor programate, serviciilor, joburilor cron și cheilor administrative cunoscute.
Apoi concentrați-vă pe:
nume noi;
căi de executabil neobișnuite;
directoare accesibile pentru scriere de către utilizatori;
comenzi codificate sau ofuscate;
conturi rare;
execuție în afara ferestrelor de modificare.
Evitați excluderea globală a unui întreg mecanism.
Oportunități de corelare
Această vânătoare poate fi combinată cu alte detectări din sursă, inclusiv:
execuția shell-ului pe serverul web;
evaziunea apărării;
reverse shell-uri;
extragerea de credențiale;
pregătirea pentru ransomware.
O secvență de execuție inițială urmată de persistență oferă o narațiune de incident mult mai puternică.
Valoare operațională
Vânarea persistenței este utilă deoarece poate expune activitatea atacatorului chiar și după ce evenimentul de exploatare original a trecut.
Monitorizând atât mecanismele de persistență bazate pe comenzi, cât și cele bazate pe fișiere, apărătorii pot identifica tentativele de a transforma accesul temporar într-un control durabil.
