Backdoor-urile ajung pe căi diferite: instalate de un atacator după compromitere, plantate de malware, încorporate de un insider sau furnizor malițios ori lăsate — intenționat sau nu — de dezvoltatori ca acces de mentenanță nedocumentat. Proprietatea definitorie este ocolirea: oricine folosește calea nu trece prin controalele prin care trebuie să treacă toți ceilalți.
Detecția depinde de ceea ce ocolește backdoor-ul. Conturile clandestine, serviciile implantate, binarele modificate, instrumentele neautorizate de acces remote și interfețele nedocumentate lasă fiecare dovezi diferite — artefacte de configurație, listeneri neașteptați, sesiuni inexplicabile — și nimic din toate acestea nu apare pe calea de autentificare ocolită.
Puncte esențiale
Forme obișnuiteComponente implantate, conturi locale sau de domeniu clandestine, instrumente neautorizate de acces remote, cod de autentificare modificat, căi de mentenanță ale furnizorului sau dezvoltatorului și mecanisme plantate prin lanțul de aprovizionare.
DetecțieInventariați conturile, serviciile, listenerii și instrumentele de acces remote față de reperele aprobate; investigați sesiunile și acțiunile administrative care nu au o urmă de autentificare corespondentă.
EliminareIdentificați cum a fost creată calea înainte de a o închide — ștergerea contului sau instrumentului fără a adresa vectorul de intrare lasă intact mecanismul care îl reconstruiește.
Limitare importantăGăsirea unui backdoor nu stabilește întreaga amploare a unei compromiteri, iar un instrument legitim de acces remote abuzat de un atacator nu este automat un „backdoor” — utilizarea neautorizată este încălcarea, nu neapărat software-ul.