Главная мысль
Название штатного средства — PowerShell, WMI или монитор процесса — само по себе не объясняет, как его использовали. Вместе проверяйте, кто его запустил, каким был родительский процесс и к каким ресурсам и узлам он обращался.
Не смешивайте три разных понятия
Living off the land (LOTL) — злоупотребление средствами и службами, уже доступными в системе. Перемещение по сети (lateral movement) направлено на доступ к другим устройствам и серверам и управление ими после первоначального проникновения; для этого могут использоваться захваченные учётные записи. Вмешательство в процессы охватывает изменение памяти, выполнения или видимых связей между процессами. Это не семейства вредоносного ПО и не синонимы, но в одной атаке эти подходы могут сочетаться.
Контекст процесса важнее его названия
PowerShell, WMI, PsExec, WinRM и удалённый рабочий стол применяются для законного администрирования Windows. LD_PRELOAD и ptrace в Linux тоже имеют законные назначения: проверяйте необычное использование и маскировку под системную службу с учётом контекста. Внедрение DLL (DLL injection), подмена кода процесса (process hollowing) и перехват потока выполнения (thread hijacking) могут оставлять следы в памяти и данных о выполнении. Подмена родительского процесса способна исказить видимые связи в дереве процессов. Process Hacker и System Informer — открытые средства мониторинга системы; название само по себе не доказывает вредоносную активность. Проверяйте источник файла, подпись и конкретные действия.
Выявляйте перемещение по сети
Получив доступ к одному устройству, злоумышленник может перейти к другим системам через похищенные учётные данные, хеши паролей, избыточные разрешения, уязвимую службу без обновлений или плохо защищённую общую папку. Удалённое выполнение команд и штатные средства управления могут выглядеть как обычная работа. Сопоставляйте данные о пользователе, устройстве и процессе. Проверяйте редкие соединения «рабочая станция — сервер», серию входов одной учётной записи, необычные дочерние процессы, создание служб и неожиданный исходящий трафик относительно привычных схем доступа.
Проверьте сигнал, ограничьте доступ и оцените масштаб
Включите запись событий создания процессов, командных строк, аутентификации, сети и конечных устройств; сопоставляйте записи по времени, учётной записи и устройству. Ограничьте административные права и возможности удалённого управления, используйте MFA, сузьте доступ к критичным сегментам и устанавливайте обновления для устранения уязвимостей. Если проверка указывает на вредоносное использование процесса или учётной записи, изолируйте устройство по плану реагирования и смените затронутые учётные данные с доверенного устройства. Найдите путь первоначального проникновения и проверьте другие системы на связанные признаки. Сигналы EDR и SIEM дают начало расследованию; аналитик выбирает меры по имеющимся доказательствам и последствиям инцидента.