Əsas fikir
PowerShell, WMI və ya proses monitorunun adı onun necə istifadə edildiyini izah etmir. Aləti kimin və hansı ana prosesdən işə saldığını, hansı resurs və cihazlara müraciət etdiyini birlikdə araşdırın.
Üç əlaqəli anlayışı fərqləndirin
Living off the land (LOTL) sistemdə mövcud olan alət və xidmətlərdən hücum məqsədilə istifadədir. Şəbəkədə başqa sistemlərə keçid (lateral movement) ilkin girişdən sonra digər cihaz və serverlərə daxil olub onları idarə etməyə yönəlir; bunun üçün ələ keçirilmiş hesablardan istifadə oluna bilər. Prosesə müdaxilə yaddaşa, icraya və ya proseslər arasındakı görünən əlaqələrə təsir edən üsulları əhatə edir. Bunlar zərərli proqram ailələri və ya sinonimlər deyil, lakin eyni hücumda birləşə bilər.
Kontekst prosesin adından daha çox şey deyir
Windows-da PowerShell, WMI, PsExec, WinRM və uzaq masaüstü xidməti qanuni idarəetmə üçün istifadə olunur. Linux-da LD_PRELOAD və ptrace də qanuni funksiyalardır; gözlənilməz istifadəni və sistem xidməti kimi maskalanmanı kontekstdə araşdırın. DLL yeridilməsi (DLL injection), proses kodunun dəyişdirilməsi (process hollowing) və icra axınının ələ keçirilməsi (thread hijacking) yaddaş və icra məlumatlarında iz buraxa bilər. Prosesi başladan ana prosesin saxtalaşdırılması isə proses ağacını aldadıcı göstərə bilər. Process Hacker və System Informer açıq mənbəli sistem monitorlarıdır; onların adı özlüyündə zərərli fəaliyyəti sübut etmir. Faylın mənbəyini, imzasını və konkret davranışını yoxlayın.
Şəbəkə boyunca hərəkəti görünən edin
Bir cihaza giriş əldə etdikdən sonra hücumçu oğurlanmış giriş məlumatları, parol heşləri, artıq verilmiş icazələr, yenilənməmiş zəif xidmətlər və ya zəif qorunan ortaq qovluqlar vasitəsilə digər sistemlərə keçə bilər. Uzaqdan əmr icrası və daxili idarəetmə alətləri adi işə bənzəyə bilər. İstifadəçi, cihaz və proses haqqında məlumatları əlaqələndirin. Nadir “işçi stansiyası — server” əlaqələrini, bir hesabla ardıcıl girişləri, qeyri-adi törəmə prosesləri, yeni xidmətlərin yaradılmasını və gözlənilməz çıxış trafikini adi giriş nümunələri ilə müqayisə edin.
Siqnalı yoxlayın, girişi məhdudlaşdırın və təsir dairəsini müəyyən edin
Proses yaradılması, əmr sətirləri, autentifikasiya, şəbəkə və cihaz hadisələrinin qeydə alınmasını aktiv edin; qeydləri vaxt, hesab və cihaz üzrə əlaqələndirin. İnzibati hüquqları və uzaqdan idarəetmə imkanlarını məhdudlaşdırın, MFA tətbiq edin, kritik şəbəkə seqmentlərinə çıxışı daraldın və zəiflikləri aradan qaldırmaq üçün yeniləmələr quraşdırın. Araşdırma hesabın və ya prosesin zərərli istifadəsini göstərirsə, cavab planına uyğun olaraq cihazı təcrid edin və təsirlənmiş giriş məlumatlarını etibarlı cihazdan dəyişin. İlkin giriş yolunu tapın və digər sistemlərdə əlaqəli əlamətləri yoxlayın. EDR və SIEM siqnalları araşdırmaya başlanğıc verir; tədbirləri analitik mövcud sübutlara və insidentin təsirinə görə seçir.