Backdoory docierają różnymi drogami: instalowane przez atakującego po kompromitacji, umieszczane przez złośliwe oprogramowanie, wbudowane przez złośliwego pracownika lub dostawcę albo pozostawione — celowo lub nie — przez deweloperów jako nieudokumentowany dostęp serwisowy. Definiującą cechą jest obejście: ktokolwiek korzysta z tej drogi, nie przechodzi przez kontrole obowiązkowe dla wszystkich innych.
Wykrywanie zależy od tego, co backdoor omija. Ukryte konta, wszczepione usługi, zmodyfikowane pliki binarne, nieautoryzowane narzędzia zdalnego dostępu i nieudokumentowane interfejsy zostawiają różne dowody — artefakty konfiguracji, nieoczekiwane nasłuchujące porty, niewyjaśnione sesje — a żadne z nich nie pojawia się w omijanej ścieżce uwierzytelniania.
Najważniejsze punkty
Typowe formyKomponenty implantów, ukryte konta lokalne lub domenowe, nieautoryzowane narzędzia zdalnego dostępu, zmodyfikowany kod uwierzytelniający, ścieżki serwisowe dostawcy lub dewelopera oraz mechanizmy wszczepione w łańcuchu dostaw.
WykrywanieInwentaryzuj konta, usługi, nasłuchujące porty i narzędzia zdalnego dostępu względem zatwierdzonych baz; badaj sesje i działania administracyjne bez odpowiadającego śladu uwierzytelnienia.
UsuwanieZidentyfikuj, jak ścieżka powstała, zanim ją zamkniesz — usunięcie konta lub narzędzia bez zajęcia się wektorem wejścia pozostawia mechanizm, który je odbuduje.
Istotne ograniczenieZnalezienie jednego backdoora nie ustala pełnego zakresu kompromitacji, a legalne narzędzie zdalnego dostępu nadużyte przez atakującego nie jest automatycznie „backdoorem" — naruszeniem jest nieautoryzowane użycie, niekoniecznie samo oprogramowanie.