日韩无码专区无码一级三级片|91人人爱网站中日韩无码电影|厨房大战丰满熟妇|AV高清无码在线免费观看|另类AV日韩少妇熟女|中文日本大黄一级黄色片|色情在线视频免费|亚洲成人特黄a片|黄片wwwav色图欧美|欧亚乱色一区二区三区

一、引言

在上期文章中我們介紹了ATT&CK執(zhí)行戰(zhàn)術(shù)前6項(xiàng)技術(shù)內(nèi)容，本期我們?yōu)榇蠹医榻B執(zhí)行戰(zhàn)術(shù)后7項(xiàng)技術(shù)內(nèi)容，后續(xù)會(huì)陸續(xù)介紹ATT&CK其他戰(zhàn)術(shù)內(nèi)容，敬請(qǐng)關(guān)注。

二、ATT&CK v10簡(jiǎn)介

MITRE ATT&CK 是一個(gè)全球可訪問的基于現(xiàn)實(shí)世界觀察的對(duì)手戰(zhàn)術(shù)和技術(shù)知識(shí)庫(kù)。ATT&CK 知識(shí)庫(kù)被用作在私營(yíng)部門、政府以及網(wǎng)絡(luò)安全產(chǎn)品和服務(wù)社區(qū)中開發(fā)特定威脅模型和方法的基礎(chǔ)。ATT&CK v10更新了適用于企業(yè)、移動(dòng)設(shè)備和 ICS（工業(yè)控制系統(tǒng)）框架的技術(shù)、組和軟件。最大的變化是在企業(yè) ATT&CK 中增加了一組新的數(shù)據(jù)源和數(shù)據(jù)組件對(duì)象，這是對(duì) ATT&CK v9 中發(fā)布的 ATT&CK 數(shù)據(jù)源名稱更改的補(bǔ)充。在 ATT&CK v10 中更新的內(nèi)容匯總了有關(guān)數(shù)據(jù)源的這些信息，同時(shí)將它們構(gòu)建為新的 ATT&CK 數(shù)據(jù)源對(duì)象。ATT&CK v10 for Enterprise包含14個(gè)戰(zhàn)術(shù)、188個(gè)技術(shù)、379個(gè)子技術(shù)、129個(gè)組織、638個(gè)軟件，一共包括38類數(shù)據(jù)源。數(shù)據(jù)源對(duì)象具有數(shù)據(jù)源的名稱以及關(guān)鍵細(xì)節(jié)和元數(shù)據(jù)，包括 ID、定義、可以收集它的位置（收集層）、可以在什么平臺(tái)上找到它，突出顯示構(gòu)成數(shù)據(jù)源的相關(guān)值/屬性的組件。ATT&CK v10 中的數(shù)據(jù)組件分析每個(gè)亮點(diǎn)映射到各種（子）技術(shù)，這些技術(shù)可以用該特定數(shù)據(jù)檢測(cè)到。在個(gè)別（子）技術(shù)上，數(shù)據(jù)源和組件已從頁(yè)面頂部的元數(shù)據(jù)框重新定位，以與檢測(cè)內(nèi)容并置。這些數(shù)據(jù)源可用于 Enterprise ATT&CK 的所有平臺(tái)，包括最新添加的涵蓋映射到 PRE 平臺(tái)技術(shù)的開源情報(bào) (OSINT) 相關(guān)數(shù)據(jù)源。

ATT&CK戰(zhàn)術(shù)全景圖（紅框?yàn)閳?zhí)行戰(zhàn)術(shù)）

三、執(zhí)行戰(zhàn)術(shù)

3.1 概述

執(zhí)行戰(zhàn)術(shù)是指攻擊者控制的惡意代碼在本地或遠(yuǎn)程系統(tǒng)上運(yùn)行的技術(shù)，通常與其他技術(shù)結(jié)合使用，例如掃描網(wǎng)絡(luò)或竊取數(shù)據(jù)，使用遠(yuǎn)程訪問工具來(lái)運(yùn)行PowerShell 腳本等。

執(zhí)行包括13種技術(shù)，前一期我們已介紹了前6種技術(shù)，下面逐一介紹后7種技術(shù)。

3.2 利用計(jì)劃任務(wù)/工作（T1053）

攻擊者可利用任務(wù)調(diào)度功能來(lái)執(zhí)行惡意代碼。所有主要操作系統(tǒng)中都有程序或腳本在指定的日期和時(shí)間執(zhí)行。如果滿足適當(dāng)?shù)纳矸蒡?yàn)證（例如：RPC 以及 Windows 環(huán)境中的文件和打印機(jī)共享），也可以在遠(yuǎn)程系統(tǒng)上安排任務(wù)，需要成為遠(yuǎn)程系統(tǒng)上的管理員或其他特權(quán)組的成員。

攻擊者可能會(huì)使用任務(wù)調(diào)度在系統(tǒng)啟動(dòng)時(shí)或定時(shí)執(zhí)行程序以實(shí)現(xiàn)持久性。這些機(jī)制也可以被利用以在特權(quán)帳戶下運(yùn)行進(jìn)程。與系統(tǒng)二進(jìn)制代理執(zhí)行類似，攻擊者也利用任務(wù)調(diào)度來(lái)掩蓋受信任系統(tǒng)進(jìn)程下的一次性執(zhí)行。

利用計(jì)劃任務(wù)/工作包含5個(gè)子技術(shù)，如下：

3.2.1 At程序（T1053.002）

攻擊者可能會(huì)利用at程序執(zhí)行惡意代碼的任務(wù)調(diào)度。at程序是Windows、Linux 和 macOS 中的可執(zhí)行文件，可執(zhí)行定時(shí)任務(wù)。盡管在 Windows 環(huán)境中已棄用計(jì)劃任務(wù)的 schtasks，但使用 at 需要運(yùn)行任務(wù)計(jì)劃程序服務(wù)，并且用戶必須作為本地管理員組的成員登錄。

在Linux和macOS 上，超級(jí)用戶以及添加到 at.allow 文件的任何用戶都可以調(diào)用 at。如果 at.allow 文件不存在，則允許不在 at.deny 中的用戶名調(diào)用at。如果at.deny存在且為空，則允許全局使用 at。如果兩個(gè)文件都不存在，則只允許超級(jí)用戶使用at。

攻擊者可使用at在系統(tǒng)啟動(dòng)時(shí)或定時(shí)執(zhí)行程序以實(shí)現(xiàn)持久化。at也可以被利用來(lái)作為橫向移動(dòng)的一部分進(jìn)行遠(yuǎn)程執(zhí)行或在指定帳戶下運(yùn)行進(jìn)程。

在 Linux 環(huán)境中，攻擊者還可能通過shell或系統(tǒng)命令來(lái)利用at程序突破受限環(huán)境。如果允許二進(jìn)制文件通過sudo以超級(jí)用戶身份運(yùn)行，at也可用于權(quán)限提升。

3.2.2 Cron程序（T1053.003）

攻擊者可能會(huì)利用cron程序定時(shí)執(zhí)行惡意代碼。cron程序是用于類Unix 操作系統(tǒng)的定時(shí)任務(wù)調(diào)度程序。crontab文件包含要運(yùn)行的定時(shí)任務(wù)計(jì)劃和執(zhí)行時(shí)間，存儲(chǔ)在操作系統(tǒng)特定的文件路徑中。

攻擊者可在Linux或Unix 環(huán)境中使用cron在系統(tǒng)啟動(dòng)時(shí)或定時(shí)執(zhí)行程序以實(shí)現(xiàn)持久化。

3.2.3 計(jì)劃任務(wù)（T1053.005）

攻擊者可能會(huì)利用 Windows 任務(wù)計(jì)劃程序來(lái)實(shí)現(xiàn)惡意代碼的初始或重復(fù)執(zhí)行。有多種方法可以訪問 Windows 中的任務(wù)計(jì)劃程序。schtasks 程序可以直接在命令行上運(yùn)行，也可以通過控制面板的GUI打開任務(wù)計(jì)劃程序。攻擊者也可使用 Windows 任務(wù)計(jì)劃程序的.NET包裝器，或Windows netapi32庫(kù)來(lái)創(chuàng)建計(jì)劃任務(wù)。

攻擊者可能會(huì)使用Windows任務(wù)計(jì)劃程序在系統(tǒng)啟動(dòng)時(shí)或定時(shí)執(zhí)行以實(shí)現(xiàn)持久化。Windows 任務(wù)計(jì)劃程序可被遠(yuǎn)程執(zhí)行作為橫向移動(dòng)的一部分或在指定帳戶下運(yùn)行進(jìn)程。與系統(tǒng)二進(jìn)制代理執(zhí)行類似，攻擊者也利用Windows 任務(wù)計(jì)劃程序來(lái)掩蓋簽名/受信任系統(tǒng)進(jìn)程下的一次性執(zhí)行。

攻擊者還可以創(chuàng)建隱藏的計(jì)劃任務(wù)，用于列舉任務(wù)的工具和手動(dòng)查詢。攻擊者可以通過刪除關(guān)聯(lián)的安全描述符（SD）注冊(cè)表值來(lái)隱藏SCHTASKS 查詢和任務(wù)調(diào)度程序的任務(wù)。也可以采用替代方法隱藏任務(wù)，例如在關(guān)聯(lián)注冊(cè)表密鑰中更改元數(shù)據(jù)（例如索引值）。

3.2.4 系統(tǒng)定時(shí)器（T1053.006）

攻擊者可能會(huì)利用 systemd 計(jì)時(shí)器來(lái)執(zhí)行惡意代碼。Systemd 計(jì)時(shí)器是具有文件擴(kuò)展名 .timer 的單元文件，用于控制服務(wù)。計(jì)時(shí)器可以定時(shí)運(yùn)行。它們可以在Linux 環(huán)境中用作Cron 的替代方案。Systemd 計(jì)時(shí)器可以通過 systemctl 命令行遠(yuǎn)程激活，通過 SSH 運(yùn)行。

每個(gè).timer文件必須有一個(gè)對(duì)應(yīng)的同名.service文件，例如 example.timer 和 example.service。.service 文件是由 systemd 系統(tǒng)和服務(wù)管理器所管理的 Systemd 服務(wù)單元文件。特權(quán)計(jì)時(shí)器寫入 /etc/systemd/system/ 和 /usr/lib/systemd/system，而用戶級(jí)別寫入 ~/.config/systemd/user/。

攻擊者可能會(huì)使用 systemd 計(jì)時(shí)器在系統(tǒng)啟動(dòng)時(shí)或定時(shí)執(zhí)行惡意代碼以實(shí)現(xiàn)持久化。使用特權(quán)路徑安裝的計(jì)時(shí)器可用于維護(hù)根級(jí)持久化，安裝用戶級(jí)計(jì)時(shí)器以實(shí)現(xiàn)用戶級(jí)持久化。

3.2.5 容器編排任務(wù)（T1053.007）

攻擊者可能會(huì)利用容器編排工具（如 Kubernetes）提供的任務(wù)調(diào)度功能，來(lái)部署執(zhí)行惡意代碼的容器。容器編排任務(wù)定時(shí)執(zhí)行自動(dòng)化任務(wù)，類似 Linux 系統(tǒng)上的 cron程序。該類型部署也可以配置為彈性擴(kuò)容的容器，自動(dòng)化在集群內(nèi)保持持久化。

在Kubernetes中，CronJob可用于調(diào)度運(yùn)行一個(gè)或多個(gè)容器以執(zhí)行特定任務(wù)。因此，攻擊者可能會(huì)利用 CronJob 在集群內(nèi)的各個(gè)節(jié)點(diǎn)中執(zhí)行惡意代碼。

3.2.6 緩解措施

ID	緩解措施	描述
M1047	審計(jì)	PowerSploit框架等工具包含PowerUp模塊，可發(fā)現(xiàn)計(jì)劃任務(wù)中存在權(quán)限弱點(diǎn)可被權(quán)限提升的系統(tǒng)。
M1028	操作系統(tǒng)配置	配置計(jì)劃任務(wù)強(qiáng)制在經(jīng)過身份驗(yàn)證的帳戶下運(yùn)行，而不是允許它們以 SYSTEM 賬戶運(yùn)行。關(guān)聯(lián)的注冊(cè)表項(xiàng)位于 HKLM\SYSTEM\CurrentControlSet\Control\Lsa\SubmitControl。該設(shè)置可以通過 GPO 進(jìn)行配置：計(jì)算機(jī)配置 > [策略] > Windows 設(shè)置 > 安全設(shè)置 > 本地策略 > 安全選項(xiàng)：域控制器：允許服務(wù)器操作員安排任務(wù)，設(shè)置為禁用。
M1026	特權(quán)賬戶管理	配置“增加調(diào)度優(yōu)先級(jí)”選項(xiàng)僅允許管理員組有權(quán)調(diào)度優(yōu)先級(jí)。這可以通過 GPO 進(jìn)行配置：計(jì)算機(jī)配置 > [策略] > Windows 設(shè)置 > 安全設(shè)置 > 本地策略 > 用戶權(quán)限分配：增加調(diào)度優(yōu)先級(jí)。
M1018	用戶賬戶管理	限制用戶帳戶的權(quán)限，只有授權(quán)管理員才能在遠(yuǎn)程系統(tǒng)上創(chuàng)建計(jì)劃任務(wù)。

3.2.7 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0017	命令	命令執(zhí)行	監(jiān)控已執(zhí)行命令和參數(shù)，這些命令和參數(shù)可能利用計(jì)劃任務(wù)執(zhí)行惡意代碼。
DS0032	容器	容器創(chuàng)建	監(jiān)控新建的容器，這些容器可能利用計(jì)劃任務(wù)執(zhí)行惡意代碼。
DS0022	文件	文件創(chuàng)建	監(jiān)控新建的文件，這些文件可能利用計(jì)劃任務(wù)執(zhí)行惡意代碼。
		文件修改	監(jiān)控修改的文件，這些文件可能利用計(jì)劃任務(wù)執(zhí)行惡意代碼。
DS0009	進(jìn)程	進(jìn)程創(chuàng)建	監(jiān)控新建的進(jìn)程，這些進(jìn)程可能利用計(jì)劃任務(wù)執(zhí)行惡意代碼。
DS0003	計(jì)劃 任務(wù)	計(jì)劃任務(wù)創(chuàng)建	監(jiān)控新建的計(jì)劃任務(wù)，這些計(jì)劃任務(wù)可能執(zhí)行惡意代碼。

3.3 無(wú)服務(wù)器執(zhí)行（T1648）

攻擊者可能會(huì)利用無(wú)服務(wù)器計(jì)算、集成和自動(dòng)化服務(wù)來(lái)在云環(huán)境中執(zhí)行任意代碼。許多云提供商提供各種無(wú)服務(wù)器資源，包括計(jì)算引擎、應(yīng)用程序集成服務(wù)和web服務(wù)器。

攻擊者利用這些資源作為執(zhí)行任意命令的手段。例如，攻擊者使用無(wú)服務(wù)器函數(shù)來(lái)執(zhí)行惡意代碼（例如加密挖掘惡意軟件）。攻擊者還可能創(chuàng)建特權(quán)賬號(hào)以執(zhí)行原始用戶無(wú)法執(zhí)行的操作。

攻擊者可以調(diào)用無(wú)服務(wù)器函數(shù)來(lái)執(zhí)行云事件，隨著時(shí)間的推移實(shí)現(xiàn)持久化。例如，在AWS環(huán)境中，攻擊者可能會(huì)創(chuàng)建一個(gè)Lambda函數(shù)，該函數(shù)會(huì)自動(dòng)向用戶添加其他云憑據(jù)，以及相應(yīng)的CloudWatch events規(guī)則，該規(guī)則會(huì)在創(chuàng)建新用戶時(shí)調(diào)用該函數(shù)。類似地，攻擊者可以在Office365環(huán)境中創(chuàng)建Power Automate工作流，該工作流將轉(zhuǎn)發(fā)用戶收到的所有電子郵件，或在授予用戶訪問SharePoint中的文檔的權(quán)限時(shí)創(chuàng)建匿名共享鏈接的所有電子郵件。

3.3.1 緩解措施

ID	緩解措施	描述
M1018	用戶賬戶管理	從未明確要求無(wú)服務(wù)器資源的用戶中刪除創(chuàng)建、修改或運(yùn)行無(wú)服務(wù)器資源的權(quán)限。

3.3.2 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0015	應(yīng)用程序日志	應(yīng)用程序日志內(nèi)容	監(jiān)視無(wú)服務(wù)器執(zhí)行生成的日志，以查看異?；顒?dòng)。 例如，在Exchange環(huán)境中，Power Automate通過Outlook365連接器發(fā)送的電子郵件在SMTP標(biāo)題"x-ms-mail-application"中包含短語(yǔ)"Power App"或"Power Automate"。
DS0025	云服務(wù)	云服務(wù)修改	監(jiān)控?zé)o服務(wù)器資源的創(chuàng)建和修改。

3.4 利用共享模塊執(zhí)行（T1129）

攻擊者可能通過加載共享模塊來(lái)執(zhí)行惡意載荷，通過Windows 模塊加載器從任意本地路徑和網(wǎng)絡(luò)路徑加載 DLL。此功能在 NTDLL.dll 中，是 Windows本機(jī)API 的一部分，來(lái)自Win32 API 的 CreateProcess、LoadLibrary 等函數(shù)調(diào)用。

模塊加載程序可以通過如下幾種方式加載 DLL：

• 通過導(dǎo)入目錄中指定DLL 路徑名；
• 通過導(dǎo)出轉(zhuǎn)發(fā)到另一個(gè)DLL，指定路徑名；
• 通過NTFS或Symlink program.exe.Local，包含導(dǎo)入、導(dǎo)出中指定的DLL路徑名；
• 通過嵌入或外部應(yīng)用程序清單中的。文件名指的是導(dǎo)入或?qū)С瞿夸浿械臈l目。

攻擊者可能會(huì)使用此功能作在受害系統(tǒng)上執(zhí)行任意有效負(fù)載。例如，惡意軟件可能會(huì)執(zhí)行共享模塊來(lái)加載其他組件或功能。

3.4.1 緩解措施

ID	緩解措施	描述
M1038	執(zhí)行預(yù)防	通過應(yīng)用程序控制工具防止加載未知 DLL，識(shí)別和阻止惡意軟件。

3.4.2 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0011	模塊	模塊負(fù)載	將 DLL 模塊加載限制到 %SystemRoot% 和 %ProgramFiles% 目錄將防止來(lái)自不安全路徑的模塊加載。
DS0009	進(jìn)程	操作系統(tǒng) API 執(zhí)行	監(jiān)控可能通過加載共享模塊來(lái)執(zhí)行惡意負(fù)載的 API 調(diào)用。

3.5 利用第三方軟件部署工具（T1072）

攻擊者可以訪問和使用安裝在企業(yè)網(wǎng)絡(luò)中的第三方軟件，例如管理、監(jiān)控和部署系統(tǒng)，以在網(wǎng)絡(luò)中橫向移動(dòng)。

攻擊者可利用第三方軟件遠(yuǎn)程執(zhí)行代碼，可橫向移動(dòng)到其他系統(tǒng)、收集信息或產(chǎn)生特定效果，例如擦除所有端點(diǎn)上的硬盤驅(qū)動(dòng)器。

此操作所需的權(quán)限因系統(tǒng)配置而異，本地憑據(jù)可直接訪問第三方系統(tǒng)，或者需要特定的域憑據(jù)，系統(tǒng)可能需要管理帳戶才能登錄或執(zhí)行。

3.5.1 緩解措施

ID	緩解措施	描述
M1015	活動(dòng)目錄配置	通過使用組策略確保關(guān)鍵網(wǎng)絡(luò)系統(tǒng)訪問隔離。
M1032	多因素認(rèn)證	通過使用多因素身份驗(yàn)證，確保關(guān)鍵網(wǎng)絡(luò)系統(tǒng)訪問隔離。
M1030	網(wǎng)絡(luò)分段	通過使用防火墻確保對(duì)關(guān)鍵網(wǎng)絡(luò)系統(tǒng)的系統(tǒng)隔離。
M1027	密碼策略	驗(yàn)證可用于訪問部署系統(tǒng)的帳戶憑據(jù)是否唯一且未在整個(gè)企業(yè)網(wǎng)絡(luò)中使用。
M1026	特權(quán)賬戶管理	僅向有限數(shù)量的管理員授予對(duì)應(yīng)用程序部署系統(tǒng)的訪問權(quán)限。
M1029	遠(yuǎn)程數(shù)據(jù)存儲(chǔ)	如果應(yīng)用程序部署系統(tǒng)可以配置為僅部署簽名的二進(jìn)制文件，則確?？尚藕灻C書不與應(yīng)用程序部署系統(tǒng)位于同一位置，而是位于無(wú)法遠(yuǎn)程訪問或者嚴(yán)格受控的系統(tǒng)上。
M1051	更新軟件	定期更新補(bǔ)丁，防止利用特權(quán)來(lái)遠(yuǎn)程訪問。
M1018	用戶賬戶管理	確保第三方提供商訪問系統(tǒng)的帳戶都可追溯，并且不會(huì)在整個(gè)網(wǎng)絡(luò)中使用或被共用。確保對(duì)提供給這些系統(tǒng)的帳戶進(jìn)行定期審查，并確保有訪問權(quán)限的回收機(jī)制。通過使用帳戶權(quán)限分離，確保關(guān)鍵網(wǎng)絡(luò)系統(tǒng)的訪問隔離。
M1017	用戶培訓(xùn)	對(duì)部署系統(tǒng)的使用有嚴(yán)格的審批政策。

3.5.2 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0015	應(yīng)用日志	應(yīng)用日志內(nèi)容	通過審計(jì)第三方應(yīng)用程序的日志發(fā)現(xiàn)未經(jīng)授權(quán)的可疑行為，以及賬號(hào)異常登錄行為等。
DS0009	進(jìn)程	進(jìn)程創(chuàng)建	監(jiān)控新創(chuàng)建的進(jìn)程行為。

3.6 利用系統(tǒng)服務(wù)（T1569）

攻擊者可能利用系統(tǒng)服務(wù)或守護(hù)程序來(lái)執(zhí)行命令或程序。攻擊者可以通過在本地或遠(yuǎn)程與服務(wù)交互執(zhí)行惡意代碼。許多服務(wù)設(shè)置為在啟動(dòng)時(shí)運(yùn)行，這有助于實(shí)現(xiàn)持久化，但攻擊者也可以利用服務(wù)一次性執(zhí)行。

利用系統(tǒng)服務(wù)技術(shù)包含2個(gè)子技術(shù)，如下：

3.6.1 Launchctl（T1569.001）

攻擊者可能會(huì)利用launchctl 來(lái)執(zhí)行命令或程序。Launchctl 與 macOS 的服務(wù)管理框架 launchd 交互。Launchctl 支持在命令行上以交互方式獲取子命令，甚至從標(biāo)準(zhǔn)輸入中重定向。

攻擊者使用launchctl執(zhí)行命令和程序作為啟動(dòng)代理或守護(hù)程序。常見的子命令包括：launchctl load、launchctl unload 和 launchctl start。攻擊者可以使用腳本或手動(dòng)運(yùn)行命令launchctl load -w "%s/Library/LaunchAgents/%s" 或 /bin/launchctl load 來(lái)執(zhí)行啟動(dòng)代理或啟動(dòng)守護(hù)進(jìn)程。

3.6.2 服務(wù)執(zhí)行（T1569.002）

攻擊者可能會(huì)利用 Windows 服務(wù)控制管理器來(lái)執(zhí)行惡意載荷。Windows 服務(wù)控制管理器是管理和操作服務(wù)的接口，用戶可以通過 GUI 組件以及 sc.exe 和 Net 等系統(tǒng)程序訪問服務(wù)控制管理器。

PsExec用于針對(duì)服務(wù)控制管理器API創(chuàng)建的臨時(shí)Windows服務(wù)執(zhí)行命令或有效負(fù)載。PsExec和sc.exe 等工具可用于遠(yuǎn)程執(zhí)行。

攻擊者可能會(huì)通過新的服務(wù)結(jié)合權(quán)限提升等技術(shù)來(lái)執(zhí)行惡意載荷。

3.6.3 緩解措施

ID	緩解措施	描述
M1040	端點(diǎn)行為防御	在Windows 10上，啟用攻擊面減少 (ASR) 規(guī)則以阻止 PsExec 創(chuàng)建的進(jìn)程運(yùn)行。
M1026	特權(quán)賬戶管理	確保權(quán)限不允許具有較低權(quán)限級(jí)別的用戶創(chuàng)建或與之交互以較高權(quán)限級(jí)別運(yùn)行的服務(wù)。
M1022	限制文件和目錄權(quán)限	確保權(quán)限級(jí)別較低的用戶無(wú)法替換或修改高權(quán)限級(jí)別的服務(wù)二進(jìn)制文件。
M1018	用戶賬戶管理	防止用戶安裝自己的啟動(dòng)代理或啟動(dòng)守護(hù)程序。

3.6.4 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0017	命令	命令執(zhí)行	監(jiān)控異常的命令行調(diào)用，包括修改與正常使用模式不符合的軟件、補(bǔ)丁或服務(wù)。
DS0022	文件	文件修改	監(jiān)控針對(duì)文件所做的更改
DS0009	進(jìn)程	進(jìn)程創(chuàng)建	監(jiān)控新創(chuàng)建的進(jìn)程
DS0019	服務(wù)	服務(wù)創(chuàng)建	監(jiān)控新創(chuàng)建的服務(wù)
DS0024	Windows 注冊(cè)表	Windows 注冊(cè)表項(xiàng)修改	監(jiān)控針對(duì)windows注冊(cè)表所做的修改

3.7 誘導(dǎo)用戶執(zhí)行（T1204）

攻擊者可能會(huì)依賴用戶的特定操作來(lái)獲得執(zhí)行。用戶可能會(huì)受到社會(huì)工程的影響，例如打開惡意文件或鏈接被執(zhí)行惡意代碼，這些用戶操作被視為網(wǎng)絡(luò)釣魚的后續(xù)行為。

攻擊者還可能欺騙用戶執(zhí)行操作，例如啟用遠(yuǎn)程訪問軟件，允許攻擊者直接控制系統(tǒng)，或下載和執(zhí)行惡意軟件等。

誘導(dǎo)用戶執(zhí)行技術(shù)包含3個(gè)子技術(shù)，如下：

3.7.1 惡意鏈接（T1204.001）

攻擊者可能依賴用戶點(diǎn)擊惡意鏈接來(lái)獲得執(zhí)行。用戶可能會(huì)受到社會(huì)工程影響，讓用戶點(diǎn)擊一個(gè)鏈接，這將導(dǎo)致代碼執(zhí)行。單擊鏈接還可能導(dǎo)致其他執(zhí)行技術(shù)，例如通過利用瀏覽器或應(yīng)用程序漏洞執(zhí)行，鏈接還可能導(dǎo)致用戶下載惡意代碼執(zhí)行關(guān)聯(lián)的文件。

3.7.2 惡意文件（T1204.002）

攻擊者可能依賴用戶打開惡意文件以獲得執(zhí)行。用戶可能會(huì)受到社會(huì)工程的影響，使他們打開將導(dǎo)致代碼執(zhí)行的文件。攻擊者可能使用需要用戶執(zhí)行的多種類型的文件，包括 .doc、.pdf、.xls、.rtf、.scr、.exe、.lnk、.pif 和 .cpl。

攻擊者可能會(huì)使用各種形式的偽裝和混淆文件來(lái)增加用戶打開并成功執(zhí)行惡意文件的可能性。這些方法可能包括使用熟悉的命名約定或密碼保護(hù)文件，并向用戶提供有關(guān)如何打開文件的說(shuō)明。

3.7.3 惡意圖片（T1204.003）

攻擊者可能會(huì)依賴用戶運(yùn)行惡意圖片以獲得執(zhí)行。主流的云平臺(tái)、容器運(yùn)行時(shí)都可以被安裝后門。后門鏡像可以通過惡意軟件上傳到公共存儲(chǔ)庫(kù)，用戶可以從鏡像下載并部署實(shí)例或容器，而不會(huì)意識(shí)到鏡像是惡意的，這可能導(dǎo)致在實(shí)例或容器中執(zhí)行惡意代碼，例如執(zhí)行加密貨幣挖掘的代碼。

攻擊者還可能以某種方式命名鏡像（例如：匹配合法名稱或位置）以混淆用戶，增加用戶錯(cuò)誤地從鏡像部署實(shí)例或容器的機(jī)會(huì)。

3.7.4 緩解措施

ID	緩解措施	描述
M1040	端點(diǎn)行為預(yù)防	在Windows10上，啟用攻擊面減少 (ASR) 規(guī)則以阻止可執(zhí)行文件運(yùn)行，并通過阻止將惡意代碼寫入磁盤來(lái)防止Office應(yīng)用程序創(chuàng)建惡意可執(zhí)行內(nèi)容。
M1038	執(zhí)行預(yù)防	通過應(yīng)用程序控制防止偽裝的可執(zhí)行文件的運(yùn)行。
M1031	網(wǎng)絡(luò)入侵防御	如果用戶正在訪問鏈接，則可以使用網(wǎng)絡(luò)入侵防御系統(tǒng)。
M1021	限制基于 Web 的內(nèi)容	如果用戶正在訪問鏈接，則默認(rèn)阻止傳輸中的未知或未使用文件，這些文件不應(yīng)下載，例如 .scr、.exe、.pif、 .cpl 等。一些下載掃描設(shè)備可以打開和分析壓縮和加密的格式，例如可能用于隱藏惡意文件的 zip 和 rar。
M1017	用戶培訓(xùn)	通過用戶培訓(xùn)提高用戶對(duì)常見網(wǎng)絡(luò)釣魚技術(shù)的認(rèn)識(shí)，增強(qiáng)安全意識(shí)。

3.7.5 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0015	應(yīng)用日志	應(yīng)用日志內(nèi)容	監(jiān)控第三方應(yīng)用程序日志記錄以發(fā)現(xiàn)用戶異常執(zhí)行行為。
DS0017	命令	命令執(zhí)行	監(jiān)控應(yīng)用程序的執(zhí)行和命令行參數(shù)。
DS0032	容器	容器創(chuàng)建	監(jiān)控新建的容器，這些容器可能使用現(xiàn)有合法的外部 Web 服務(wù)而不是它們的主要命令和控制通道來(lái)泄露數(shù)據(jù)。
		容器啟動(dòng)	監(jiān)控容器的激活或調(diào)用。
DS0022	文件	文件創(chuàng)建	防病毒軟件可能會(huì)檢測(cè)到在用戶計(jì)算機(jī)上下載和執(zhí)行的惡意文檔和文件。端點(diǎn)防御系統(tǒng)可能會(huì)在文件打開后檢測(cè)到惡意事件。
DS0007	圖像	圖像創(chuàng)建	監(jiān)控新建的圖像，可能使用現(xiàn)有的合法外部 Web 服務(wù)而不是其主要命令和控制通道來(lái)泄露數(shù)據(jù)。
DS0030	實(shí)例	創(chuàng)建實(shí)例	監(jiān)控新建的實(shí)例，可能使用現(xiàn)有的合法外部 Web 服務(wù)而不是其主要命令和控制通道來(lái)泄露數(shù)據(jù)。
		實(shí)例啟動(dòng)	監(jiān)控實(shí)例的激活或調(diào)用。
DS0029	網(wǎng)絡(luò)流量	網(wǎng)絡(luò)連接創(chuàng)建	監(jiān)控新建的基于web的網(wǎng)絡(luò)連接，這些網(wǎng)絡(luò)連接被發(fā)送到惡意或可疑目的地。檢測(cè)異常進(jìn)程執(zhí)行和命令行參數(shù)（例如，監(jiān)控不正常啟動(dòng)網(wǎng)絡(luò)連接或由 regsvr32.exe、rundll.exe、.SCF、HTA、 MSI、DLL 或 msiexec.exe）。。
		網(wǎng)絡(luò)流量?jī)?nèi)容	監(jiān)控和分析與基于 Web 的網(wǎng)絡(luò)連接相關(guān)的流量數(shù)據(jù)包，檢測(cè)異常進(jìn)程執(zhí)行和命令行參數(shù)。
DS0009	進(jìn)程	進(jìn)程創(chuàng)建	監(jiān)控新執(zhí)行的進(jìn)程，攻擊者可能會(huì)使用這些進(jìn)程來(lái)獲得需要用戶交互的初始訪問權(quán)限。

3.8 利用windows管理規(guī)范（WMI）（T1047）

攻擊者可能會(huì)利用Windows Management Instrumentation (WMI) 來(lái)執(zhí)行惡意載荷。WMI 是一項(xiàng)管理功能，可提供統(tǒng)一的環(huán)境來(lái)訪問Windows系統(tǒng)組件。WMI 服務(wù)支持本地和遠(yuǎn)程訪問，常用端口：135和5985。

攻擊者可以使用 WMI 與本地和遠(yuǎn)程系統(tǒng)交互，遠(yuǎn)程執(zhí)行文件可用于信息收集、橫向移動(dòng)等環(huán)節(jié)。

3.8.1 緩解措施

ID	緩解措施	描述
M1040	端點(diǎn)行為預(yù)防	在Windows 10上，啟用攻擊面減少 (ASR) 規(guī)則以阻止由WMI 命令創(chuàng)建的進(jìn)程運(yùn)行。注意：許多合法工具和應(yīng)用程序使用 WMI 來(lái)執(zhí)行命令。
M1038	執(zhí)行預(yù)防	如果給定系統(tǒng)或網(wǎng)絡(luò)不需要執(zhí)行 wmic.exe，請(qǐng)使用配置為阻止執(zhí)行 wmic.exe 的應(yīng)用程序控制，以防止對(duì)手潛在的利用。例如，在 Windows 10 和 Windows Server 2016 及更高版本中，可能會(huì)應(yīng)用 Windows Defender 應(yīng)用程序控制 (WDAC) 策略規(guī)則來(lái)阻止 wmic.exe 應(yīng)用程序并防止被利用。
M1026	特權(quán)賬戶管理	防止管理員和特權(quán)帳戶系統(tǒng)之間的憑據(jù)重疊。
M1018	用戶賬戶管理	默認(rèn)情況下，僅允許管理員使用 WMI 進(jìn)行遠(yuǎn)程連接。限制允許連接的其他用戶，或禁止所有用戶遠(yuǎn)程連接到 WMI。

3.8.2 檢測(cè)

ID	數(shù)據(jù)源	數(shù)據(jù)組件	檢測(cè)
DS0017	命令	命令執(zhí)行	監(jiān)控用于執(zhí)行遠(yuǎn)程行為操作的命令和參數(shù)。
DS0029	網(wǎng)絡(luò)流量	網(wǎng)絡(luò)連接創(chuàng)建	監(jiān)控 WMI 連接的網(wǎng)絡(luò)流量，在通常不使用 WMI 的環(huán)境中使用 WMI 視為異常。
DS0009	進(jìn)程	進(jìn)程創(chuàng)建	監(jiān)控新建的wmic進(jìn)程或命令行

網(wǎng)站標(biāo)題：ATT&CKv10版本戰(zhàn)術(shù)介紹執(zhí)行
地址分享：http://m.5511xx.com/article/cdgpjdh.html