Protože stejné schopnosti podporují běžný provoz, aktivita LOTL se může mísit s očekávaným chováním a obcházet kontroly zaměřené na neznámé binárky. Pojem popisuje, jak jsou schopnosti získávány, nikoli rodinu malwaru či jednu konkrétní techniku.
LOTL může podporovat objevování, spouštění, perzistenci, přístup k přihlašovacím údajům, laterální pohyb, sběr nebo command and control. Schopnost může být vestavěná, cloudem poskytovaná nebo legitimní software dvojího užití. Může přistupovat k souborům nebo doprovázet vlastní malware, takže LOTL neznamená bez artefaktů.
Klíčové body
Kontext je centrálníSamotný název nástroje zřídka zakládá záměr. Analytici potřebují iniciující identitu, rodičovský proces, účel příkazu, cíl, načasování, autorizaci a očekávaný administrativní vzor.
Přístup k detekciKombinujte důkazy procesů, identit, příkazových řádků, skriptů, sítě a cloudového auditu; vytvořte baseline legitimní správy; a vyšetřujte neobvyklé sekvence nebo použití z neočekávaných účtů a hostitelů.
Snížení expoziceOmezte administrativní nástroje a cesty vzdálené správy na definované role, používejte řízení aplikací, kde je vhodné, chraňte privilegované účty a uchovávejte telemetrii potřebnou k rekonstrukci aktivity.
Důležité omezeníZablokování každé utility dvojího užití může narušit legitimní provoz a stále ponechat ekvivalentní schopnosti dostupné. Globální povolení důvěryhodného či podepsaného nástroje je rovněž nebezpečné; důvěra v software neautorizuje každé použití.