Backdoor se do systému dostává různými cestami: nainstaluje jej útočník po kompromitaci, zasadí malware, vestaví škodlivý insider nebo dodavatel, anebo jej — záměrně či ne — zanechají vývojáři jako nedokumentovaný servisní přístup. Definiční vlastností je obcházení: kdokoli cestu použije, neprochází kontrolami, kterými musí procházet všichni ostatní.
Detekce závisí na tom, co backdoor obchází. Skryté účty, implantované služby, modifikované binárky, neautorizované nástroje vzdáleného přístupu a nedokumentovaná rozhraní zanechávají různé důkazy — artefakty konfigurace, neočekávané naslouchající služby, nevysvětlené relace — a nic z toho se neobjevuje v autentizační cestě, která je obcházena.
Klíčové body
Běžné formyKomponenty implantů, skryté lokální či doménové účty, neautorizované nástroje vzdáleného přístupu, modifikovaný autentizační kód, servisní cesty dodavatelů či vývojářů a mechanismy zasazené dodavatelským řetězcem.
DetekceInventarizujte účty, služby, naslouchající procesy a nástroje vzdáleného přístupu vůči schváleným baseline; vyšetřujte relace a administrativní akce bez odpovídající autentizační stopy.
OdstraněníPřed uzavřením cesty identifikujte, jak vznikla — smazání účtu či nástroje bez řešení vstupního vektoru ponechá mechanismus, který jej znovu vybuduje.
Důležité omezeníNález jednoho backdooru nezakládá plný rozsah kompromitace a legitimní nástroj vzdáleného přístupu zneužitý útočníkem není automaticky „backdoor" — porušením je neoprávněné použití, nikoli nutně software.