Pentru că aceleași capabilități susțin operațiunile de rutină, activitatea LOTL se poate confunda cu comportamentul așteptat și poate ocoli controalele concentrate pe binare necunoscute. Termenul descrie modul în care capabilitățile sunt obținute, nu o familie de malware sau o tehnică anume.
LOTL poate susține descoperirea, execuția, persistența, accesul la credențiale, mișcarea laterală, colectarea sau comanda și controlul. Capabilitatea poate fi integrată, furnizată de cloud sau software legitim cu dublă utilizare. Poate accesa fișiere sau însoți malware personalizat, așa că LOTL nu înseamnă lipsit de artefacte.
Puncte esențiale
Contextul este centralDoar numele unui instrument rareori stabilește intenția. Analiștii au nevoie de identitatea inițiatoare, procesul-părinte, scopul comenzii, ținta, momentul, autorizarea și tiparul administrativ așteptat.
Abordare de detecțieCombinați dovezi de proces, identitate, linie de comandă, scripturi, rețea și audit cloud; stabiliți un reper pentru administrarea legitimă; și investigați secvențele neobișnuite sau utilizarea din conturi și gazde neașteptate.
Reducerea expuneriiLimitați instrumentele administrative și căile de administrare remote la roluri definite, folosiți control al aplicațiilor acolo unde este potrivit, protejați conturile privilegiate și păstrați telemetria necesară pentru a reconstrui activitatea.
Limitare importantăBlocarea fiecărui utilitar cu dublă utilizare poate perturba operațiunile legitime și poate lăsa capabilități echivalente disponibile. Permisiunea globală a unui instrument de încredere sau semnat este de asemenea nesigură; încrederea în software nu autorizează fiecare utilizare.