Perzistence je cíl, nikoli technika — cokoli, co přežije pokus obránce o odstranění přístupu, se kvalifikuje. MITRE ATT&CK katalogizuje tuto taktiku napříč manipulací účtů, mechanismy automatického spuštění při startu a přihlášení, plánovanými úkoly, implanty, rozšířeními prohlížeče, úpravami cloudu a identit a manipulací před spuštěním OS.
Obranný důsledek je asymetrický: jeden přehlédnutý mechanismus perzistence zneplatňuje jinak kompletní nápravu. Účinná reakce proto považuje objevování perzistence za vlastní pracovní tok — vypočítání každého mechanismu, kterého se vniknutí dotklo, místo čištění pouze těch, které spustily detekci.
Klíčové body
Běžné mechanismyNové či modifikované účty a přihlašovací údaje, úpravy automatického spuštění a startu, plánované úkoly a služby, implanty a webshelly, rozšíření prohlížeče, změny aplikací a federace a manipulace firmwaru či virtualizační vrstvy.
Disciplína eradikaceVypočítávejte mechanismy perzistence systematicky napříč koncovými zařízeními, systémy identit a cloudovými rovinami; odstraňujte je spolu s přístupem, kterému slouží; a poté verifikujte, místo předpokladu úplnosti.
Vrstvené uchováníOčekávejte záměrnou redundanci — útočníci běžně instalují několik mechanismů na různých vrstvách právě proto, aby částečné vyčištění jejich přístup obnovilo.
Důležité omezeníMechanismy perzistence splývají s legitimní správou, takže seznamy postavené jen na známých škodlivých signaturách je minou. Reimaging odstraní většinu perzistence na úrovni hostitele, ale ne mechanismy žijící v systémech identit, firmwaru nebo cloudových řídicích rovinách.