Persistența este un obiectiv, nu o tehnică — orice supraviețuiește încercării apărătorului de a elimina accesul se califică. MITRE ATT&CK cataloghează tactica de-a lungul manipulării conturilor, mecanismelor de autostart la boot și logon, sarcinilor programate, implanturilor, extensiilor de browser, modificărilor de cloud și identitate și alterării de dinainte de boot-ul sistemului de operare.
Consecința defensivă este asimetrică: un singur mecanism de persistență ratat invalidează o remediere altfel completă. Răspunsul eficace tratează prin urmare descoperirea persistenței ca un flux de lucru propriu — enumerând fiecare mecanism pe care intruziunea l-a atins, nu curățând doar cele care au declanșat detecția.
Puncte esențiale
Mecanisme obișnuiteConturi și credențiale noi sau modificate, modificări de autostart și boot, sarcini și servicii programate, implanturi și webshell-uri, extensii de browser, modificări de aplicații și federație și alterare la nivel de firmware sau virtualizare.
Disciplina eradicăriiEnumerați sistematic mecanismele de persistență pe endpointuri, sisteme de identitate și planuri cloud; eliminați-le împreună cu accesul pe care îl servesc; și verificați ulterior, nu presupuneți completitudinea.
Păstrare stratificatăAșteptați-vă la redundanță deliberată — atacatorii instalează în mod obișnuit mai multe mecanisme la straturi diferite tocmai pentru ca o curățare parțială să le restaureze accesul.
Limitare importantăMecanismele de persistență se confundă cu administrarea legitimă, așa că listele construite doar din semnături cunoscute ca rele le ratează. Reimaging-ul elimină majoritatea persistenței la nivel de gazdă, dar nu mecanismele care trăiesc în sistemele de identitate, firmware sau planuri de control cloud.