Eticheta nu înseamnă că nu există deloc fișiere: scripturi, shortcuturi, jurnale, date de registry, componente descărcate sau alte artefacte pot fi create înainte, în timpul sau după execuție.
O intruziune poate folosi interpretoare de comenzi, interfețe de administrare, funcții de documente, încărcare în memorie sau stocare netradițională pentru a rula cod și a menține accesul. Unele dintre acele facilități sunt legitime și larg folosite, așa că investigarea trebuie să distingă administrarea normală de un lanț neașteptat de procese, identități, modificări de persistență și activitate de rețea.
Puncte esențiale
Dovezi de execuțieExaminați arborele de procese, conținutul comenzilor și scripturilor, memoria, modulele încărcate, activitatea conturilor și modificările configurației de sistem, în loc să căutați doar un executabil depus.
Persistență și stocareVerificați acțiunile programate, serviciile, depozitele de registry sau de administrare, profilurile de utilizator, planurile de control cloud și alte locații care pot păstra instrucțiuni sau conținut codificat.
Abordare defensivăRestricționați interpretoarele și interfețele administrative inutile, jurnalați utilizarea lor, aplicați privilegiul minim, protejați credențialele și corelați telemetria de endpoint, identitate și rețea.
Limitare importantă„Fileless” este un termen umbrelă imprecis, nu o dovadă de sofisticare sau invizibilitate. Instrumentele legitime pot arăta similar, dovezile din memorie sunt volatile, iar detecția centrată pe fișiere poate găsi totuși scripturi, jurnale sau componente de susținere.