Persistence to cel, a nie technika — kwalifikuje się wszystko, co przetrwa próbę usunięcia dostępu przez obrońcę. MITRE ATT&CK kataloguje taktykę obejmującą manipulację kontami, mechanizmy autostartu rozruchu i logowania, zaplanowane zadania, implanty, rozszerzenia przeglądarki, modyfikacje chmury i tożsamości oraz manipulacje przed startem systemu operacyjnego.
Konsekwencja obronna jest asymetryczna: jeden przeoczony mechanizm utrwalenia unieważnia poza tym kompletną naprawę. Skuteczna reakcja traktuje więc odkrywanie utrwalenia jako osobny strumień prac — wyliczający każdy mechanizm, którego intruzja dotknęła, zamiast czyścić tylko te, które wywołały detekcję.
Najważniejsze punkty
Typowe mechanizmyNowe lub zmodyfikowane konta i poświadczenia, modyfikacje autostartu i rozruchu, zaplanowane zadania i usługi, implanty i webshelle, rozszerzenia przeglądarki, zmiany aplikacji i federacji oraz manipulacje w firmware lub warstwie wirtualizacji.
Dyscyplina eliminacjiWyliczaj mechanizmy utrwalenia systematycznie po punktach końcowych, systemach tożsamości i płaszczyznach chmury; usuwaj je razem z dostępem, któremu służą; i weryfikuj po fakcie, zamiast zakładać kompletność.
Warstwowe zatrzymywanieOczekuj celowej redundancji — atakujący powszechnie instalują kilka mechanizmów w różnych warstwach właśnie po to, by częściowe czyszczenie przywracało ich dostęp.
Istotne ograniczenieMechanizmy utrwalenia zlewają się z legalną administracją, więc listy budowane tylko ze znanych złych sygnatur je przeoczają. Reimaging usuwa większość utrwalenia na poziomie hosta, ale nie mechanizmy żyjące w systemach tożsamości, firmware lub płaszczyznach sterowania chmury.