Ponieważ te same możliwości wspierają rutynowe operacje, aktywność LOTL może zlewać się z oczekiwanym zachowaniem i omijać kontrole skupione na nieznanych plikach binarnych. Termin opisuje, skąd czerpane są możliwości, a nie rodzinę złośliwego oprogramowania czy jedną konkretną technikę.
LOTL może wspierać rozpoznanie, wykonanie, utrwalenie, dostęp do poświadczeń, ruch boczny, zbieranie lub command and control. Możliwość może być wbudowana, dostarczana przez chmurę lub legalnym oprogramowaniem podwójnego zastosowania. Może sięgać po pliki lub towarzyszyć własnemu złośliwemu oprogramowaniu, więc LOTL nie oznacza braku artefaktów.
Najważniejsze punkty
Kontekst jest centralnySama nazwa narzędzia rzadko przesądza o zamiarze. Analitycy potrzebują tożsamości inicjującej, procesu rodzicielskiego, celu polecenia, celu, czasu, autoryzacji i oczekiwanego wzorca administracyjnego.
Podejście detekcyjneŁącz dowody procesów, tożsamości, wierszy poleceń, skryptów, sieci i audytu chmury; ustal bazę legalnej administracji; i badaj nietypowe sekwencje lub użycie z nieoczekiwanych kont i hostów.
Redukcja ekspozycjiOgraniczaj narzędzia administracyjne i ścieżki zdalnego zarządzania do zdefiniowanych ról, stosuj kontrolę aplikacji tam, gdzie właściwe, chroń konta uprzywilejowane i zachowuj telemetrię potrzebną do rekonstrukcji aktywności.
Istotne ograniczenieBlokowanie każdego narzędzia podwójnego zastosowania może zakłócić legalne operacje i nadal pozostawić równoważne możliwości. Globalne dopuszczanie zaufanego lub podpisanego narzędzia też jest niebezpieczne; zaufanie do oprogramowania nie autoryzuje każdego jego użycia.