Etykieta nie oznacza, że żadne pliki nigdy nie istnieją: skrypty, skróty, logi, dane rejestru, pobrane komponenty lub inne artefakty mogą nadal powstawać przed, w trakcie lub po wykonaniu.
Intruzja może używać interpreterów poleceń, interfejsów zarządczych, funkcji dokumentów, ładowania do pamięci lub nietradycyjnej pamięci masowej do uruchamiania kodu i utrzymania dostępu. Część tych mechanizmów jest legalna i powszechnie używana, więc dochodzenie musi odróżniać normalną administrację od nieoczekiwanego łańcucha procesów, tożsamości, zmian utrwalenia i aktywności sieciowej.
Najważniejsze punkty
Dowody wykonaniaBadaj pochodzenie procesów, treść poleceń i skryptów, pamięć, załadowane moduły, aktywność kont i zmiany konfiguracji systemu — zamiast szukać tylko porzuconego pliku wykonywalnego.
Utrwalenie i przechowywanieSprawdź zaplanowane zadania, usługi, rejestr lub repozytoria zarządcze, profile użytkowników, płaszczyzny sterowania chmury i inne miejsca, które mogą przechowywać instrukcje lub zakodowaną zawartość.
Podejście obronneOgraniczaj niepotrzebne interpretery i interfejsy administracyjne, loguj ich użycie, stosuj minimalne uprawnienia, chroń poświadczenia i koreluj telemetrię punktów końcowych, tożsamości i sieci.
Istotne ograniczenie„Bezplikowy" to nieprecyzyjne pojęcie zbiorcze, a nie dowód zaawansowania czy niewidzialności. Legalne narzędzia mogą wyglądać podobnie, dowody w pamięci są ulotne, a detekcja skupiona na plikach może znaleźć skrypty, logi lub komponenty pomocnicze.