Označení neznamená, že žádné soubory nikdy neexistují: skripty, zkratky, logy, data registru, stažené komponenty nebo jiné artefakty mohou být stále vytvořeny před, během či po spuštění.
Vniknutí může používat interprety příkazů, správní rozhraní, funkce dokumentů, načítání do paměti nebo netradiční úložiště ke spuštění kódu a udržení přístupu. Některá z těchto zařízení jsou legitimní a široce používaná, takže vyšetřování musí rozlišovat běžnou správu od neočekávaného řetězce procesů, identit, změn perzistence a síťové aktivity.
Klíčové body
Důkazy spuštěníZkoumejte rodokmen procesů, obsah příkazů a skriptů, paměť, načtené moduly, aktivitu účtů a změny systémové konfigurace, místo hledání pouze zahozeného spustitelného souboru.
Perzistence a úložištěKontrolujte plánované akce, služby, registr či správní repozitáře, uživatelské profily, cloudové řídicí roviny a další umístění, která mohou uchovávat instrukce nebo zakódovaný obsah.
Obranný přístupOmezte nepotřebné interprety a administrativní rozhraní, logujte jejich použití, aplikujte princip nejmenších oprávnění, chraňte přihlašovací údaje a korelujte telemetrii koncových zařízení, identit a sítě.
Důležité omezení„Bezsouborový" je nepřesný zastřešující pojem, nikoli důkaz sofistikovanosti či neviditelnosti. Legitimní nástroje mohou vypadat podobně, důkazy v paměti jsou volatilní a detekce zaměřená na soubory může najít skripty, logy nebo podpůrné komponenty.