څنګه د ترافیک تحلیل سیسټمونه د PT شبکې برید کشف مثال په کارولو سره د MITER ATT&CK په کارولو سره د هیکر تاکتیکونه کشف کوي

څنګه د ترافیک تحلیل سیسټمونه د PT شبکې برید کشف مثال په کارولو سره د MITER ATT&CK په کارولو سره د هیکر تاکتیکونه کشف کوي

د Verizon په وینا، د معلوماتو د خوندیتوب ډیری پیښې (87٪) په دقیقو کې پیښیږي ، او د 68٪ شرکتونو لپاره د دوی کشف کول میاشتې وخت نیسي. دا له خوا تایید شوی دی د پونیمون انسټیټیوټ څیړنهد دې له مخې ډیری سازمانونه په اوسط ډول 206 ورځې وخت نیسي ترڅو یوه پیښه کشف کړي. زموږ د تحقیقاتو د تجربې پراساس، هیکران کولی شي د کلونو لپاره د شرکت زیربنا کنټرول کړي پرته لدې چې کشف شي. په دې توګه، په یوه سازمان کې چیرې چې زموږ کارپوهانو د معلوماتو امنیت پیښه وڅیړله، دا څرګنده شوه چې هیکرانو په بشپړ ډول د سازمان ټول زیربنا کنټرول کړه او په منظمه توګه مهم معلومات غلا کړي. د اتو کلونو لپاره.

راځئ چې ووایو تاسو دمخه یو SIEM چلولی دی چې لاګونه راټولوي او پیښې تحلیلوي ، او د انټي ویروس سافټویر په پای نوډونو کې نصب شوی. په هرصورت، هر څه د SIEM په کارولو سره نشي کشف کیدی، لکه څنګه چې په ټوله شبکه کې د EDR سیسټمونو پلي کول ناممکن دي ، پدې معنی چې د "ړندو" ځایونو مخه نشي نیول کیدی. د شبکې ترافیک تحلیل (NTA) سیسټمونه د دوی سره معامله کې مرسته کوي. دا حلونه د شبکې د ننوتلو په لومړیو مرحلو کې د برید کونکي فعالیت کشف کوي، په بیله بیا په شبکه کې د پښو د ترلاسه کولو او د برید پراختیا لپاره د هڅو په جریان کې.

د NTAs دوه ډوله شتون لري: ځینې یې د NetFlow سره کار کوي، نور د خام ترافیک تحلیل کوي. د دوهم سیسټمونو ګټه دا ده چې دوی کولی شي خام ترافیک ریکارډونه ذخیره کړي. د دې څخه مننه، د معلوماتو امنیت متخصص کولی شي د برید بریالیتوب تایید کړي، ګواښ ځایی کړي، پوه شي چې برید څنګه رامنځته شوی او په راتلونکي کې د ورته ورته مخنیوي څرنګوالی.

موږ به وښیو چې څنګه د NTA په کارولو سره تاسو کولی شئ مستقیم یا غیر مستقیم شواهد وکاروئ ترڅو ټول پیژندل شوي برید تاکتیکونه وپیژندل شي چې د پوهې په اساس کې بیان شوي. MITER AT&CK. موږ به د هر 12 تاکتیکونو په اړه وغږیږو، هغه تخنیکونه تحلیل کړو چې د ټرافیک لخوا کشف شوي، او زموږ د NTA سیسټم په کارولو سره د دوی کشف وښیو.

د ATT&CK د پوهې اساس په اړه

MITER ATT&CK د عامه پوهاوي اساس دی چې د MITER کارپوریشن لخوا رامینځته شوی او ساتل کیږي د حقیقي ژوند APTs تحلیل پراساس. دا د تاکتیکونو او تخنیکونو جوړښت دی چې د برید کونکو لخوا کارول کیږي. دا د ټولې نړۍ څخه د معلوماتو امنیت متخصصینو ته اجازه ورکوي چې په ورته ژبه خبرې وکړي. ډیټابیس په دوامداره توګه پراخیږي او د نوي پوهې سره ضمیمه کیږي.

ډیټابیس 12 تاکتیکونه پیژني، کوم چې د سایبر برید مرحلو لخوا ویشل شوي:

  • ابتدايي لاسرسی
  • اعدام
  • انسجام (استقامت)؛
  • د امتیازاتو زیاتوالی
  • د کشف مخنیوی (دفاعي تیښتې)؛
  • د اعتبار ترلاسه کول (د اعتبار وړ لاسرسی)؛
  • سپړنه
  • د احاطې دننه حرکت (دواړخیزه حرکت)؛
  • د معلوماتو راټولول (راټولول);
  • قومانده او کنټرول؛
  • د معلوماتو افشا کول؛
  • اغیزه

د هر تاکتیک لپاره، د ATT&CK پوهه اساس د تخنیکونو لیست لیست کوي چې د برید کونکي سره د برید په اوسني مرحله کې خپل هدف ترلاسه کولو کې مرسته کوي. څرنګه چې ورته تخنیک په مختلفو مرحلو کې کارول کیدی شي، دا کولی شي څو تاکتیکونو ته مراجعه وکړي.

د هر تخنیک توضیحات شامل دي:

  • پیژندونکی
  • د تاکتیکونو لیست چې پکې کارول کیږي؛
  • د APT ډلو لخوا د کارولو مثالونه؛
  • د دې کارولو څخه د زیان کمولو لپاره اقدامات؛
  • د کشف سپارښتنې

د معلوماتو امنیت متخصصین کولی شي د ډیټابیس څخه پوهه وکاروي ترڅو د اوسني برید میتودونو په اړه معلومات رامینځته کړي او دا په پام کې نیولو سره یو اغیزمن امنیت سیسټم رامینځته کړي. پدې پوهیدل چې څنګه د APT اصلي ګروپونه فعالیت کوي کولی شي په فعاله توګه دننه د ګواښونو لټون لپاره د فرضیو سرچینه شي. د ګواښ ښکار.

د PT شبکې برید کشف په اړه

موږ به د سیسټم په کارولو سره د ATT او CK میټریکس تخنیکونو کارول وپیژنو د PT شبکې برید کشف - مثبت ټیکنالوژي NTA سیسټم، ډیزاین شوی چې په محیط او د شبکې دننه بریدونه کشف کړي. PT NAD د MITER ATT او CK میټریکس ټول 12 تاکتیکونه په مختلفو درجو پوښي. هغه د لومړني لاسرسي، وروسته حرکت، او قوماندې او کنټرول لپاره تخنیکونو پیژندلو کې خورا پیاوړی دی. په دوی کې، PT NAD له نیمایي څخه ډیر پیژندل شوي تخنیکونه پوښي، د مستقیم یا غیر مستقیم نښو په واسطه د دوی غوښتنلیک کشف کوي.

سیسټم د ټیم لخوا رامینځته شوي د کشف قواعدو په کارولو سره د ATT&CK تخنیکونو په کارولو سره بریدونه کشف کوي د PT متخصص امنیت مرکز (PT ESC)، د ماشین زده کړه، د جوړجاړي شاخصونه، ژور تحلیلونه او وروسته تحلیلي تحلیل. د ریښتیني وخت ترافیک تحلیل د شاتګ سره یوځای تاسو ته اجازه درکوي اوسني پټ ناوړه فعالیت وپیژني او د پراختیا ویکتورونه او د بریدونو تاریخ تعقیب کړي.

دلته د PT NAD څخه د MITER ATT او CK میټرکس بشپړ نقشه. انځور لوی دی، نو موږ وړاندیز کوو چې تاسو یې په جلا کړکۍ کې وګورئ.

ابتدايي لاسرسی

څنګه د ترافیک تحلیل سیسټمونه د PT شبکې برید کشف مثال په کارولو سره د MITER ATT&CK په کارولو سره د هیکر تاکتیکونه کشف کوي

د لاسرسي لومړني تاکتیکونه د شرکت شبکې ته د ننوتلو تخنیکونه شامل دي. پدې مرحله کې د برید کونکو هدف دا دی چې برید شوي سیسټم ته ناوړه کوډ وړاندې کړي او د دې نور اجرا کیدو امکان تضمین کړي.

د PT NAD څخه د ترافیک تحلیل اوه تخنیکونه په ګوته کوي چې د لومړني لاسرسي ترلاسه کولو لپاره:

1. T1189: د چلولو په واسطه جوړجاړی

یو تخنیک په کوم کې چې قرباني یوه ویب پاڼه پرانیزي چې د برید کونکو لخوا د ویب براوزر څخه د ګټې اخیستنې او د غوښتنلیک لاسرسي ټیکونو ترلاسه کولو لپاره کارول کیږي.

PT NAD څه کوي؟: که د ویب ټرافیک کوډ شوی نه وي، PT NAD د HTTP سرور ځوابونو مینځپانګې معاینه کوي. دا ځوابونه هغه ګټې لري چې برید کونکو ته اجازه ورکوي چې په براوزر کې خپل سري کوډ اجرا کړي. PT NAD په اتوماتيک ډول د کشف قواعدو په کارولو سره دا ډول استحصال کشف کوي.

سربیره پردې، PT NAD په مخکینۍ مرحله کې ګواښ کشف کوي. د موافقتنامې قواعد او شاخصونه رامینځته کیږي که چیرې کارونکي داسې سایټ ته مراجعه وکړي چې هغه یې د ګټې اخیستنې یوې ډلې سره سایټ ته لیږلی وي.

2. T1190: د عامه مخامخ غوښتنلیک ګټه پورته کړئ

په هغو خدمتونو کې چې له انټرنېټ څخه د لاسرسي وړ دي له زيانمنتيا څخه ګټه پورته کول.

PT NAD څه کوي؟: د شبکې د پاکټونو د منځپانګې ژوره معاینه ترسره کوي، د غیر معمولي فعالیت نښې نښانې پیژني. په ځانګړې توګه، داسې مقررات شتون لري چې تاسو ته اجازه درکوي د لوی منځپانګې مدیریت سیسټمونو (CMS)، د شبکې تجهیزاتو ویب انټرنیټونو، او په میل او FTP سرورونو بریدونه کشف کړئ.

3. T1133: بهرنۍ لیرې خدمتونه

برید کوونکي د بهر څخه د داخلي شبکې سرچینو سره د نښلولو لپاره د لیرې لاسرسي خدماتو کاروي.

PT NAD څه کوي؟: له هغه ځایه چې سیسټم پروتوکولونه د پورټ شمیرو لخوا نه پیژني ، مګر د پاکټونو مینځپانګې په واسطه ، د سیسټم کارونکي کولی شي ترافیک فلټر کړي ترڅو د لرې لاسرسي پروتوکولونو ټولې ناستې ومومي او د دوی مشروعیت وګوري.

4. T1193: spearphishing ضمیمه

موږ د فشینګ ضمیمو د بدنام لیږلو په اړه خبرې کوو.

PT NAD څه کوي؟: په اتوماتيک ډول د ټرافیک څخه فایلونه استخراجوي او د موافقت شاخصونو په وړاندې یې ګوري. په ضمیمه کې د اجرا وړ فایلونه د مقرراتو لخوا کشف شوي چې د بریښنالیک ترافیک مینځپانګه تحلیل کوي. په یو کارپوریټ چاپیریال کې، دا ډول پانګه اچونه غیرقانوني ګڼل کیږي.

5. T1192: سپیرفشینګ لینک

د فشینګ لینکونو کارول. په دې تخنیک کې برید کونکي د یو لینک سره د فشینګ بریښنالیک لیږل شامل دي چې کله کلیک کیږي، یو ناوړه پروګرام ډاونلوډ کوي. د یوې قاعدې په توګه، لینک د ټولنیز انجینرۍ د ټولو قواعدو سره سم ترتیب شوی متن سره دی.

PT NAD څه کوي؟: د جوړجاړي د شاخصونو په کارولو سره د فشینګ لینکونه کشف کوي. د مثال په توګه، د PT NAD انٹرفیس کې موږ یوه ناسته ګورو چې پکې د یو لینک له لارې HTTP اړیکه وه چې د فشینګ پتې (فشینګ-urls) په لیست کې شامله وه.

څنګه د ترافیک تحلیل سیسټمونه د PT شبکې برید کشف مثال په کارولو سره د MITER ATT&CK په کارولو سره د هیکر تاکتیکونه کشف کوي

د موافقتنامې فشینګ-urls شاخصونو لیست څخه د لینک له لارې اړیکه

6. T1199: باوري اړیکه

د قربانیانو شبکې ته د دریمې ډلې له لارې لاسرسی چې قرباني یې باوري اړیکه جوړه کړې. برید کوونکي کولی شي یو باوري سازمان هیک کړي او د هغې له لارې د هدف شبکې سره وصل شي. د دې کولو لپاره، دوی د VPN اتصال یا ډومین اعتماد کاروي، کوم چې د ټرافيکي تحلیلونو له لارې پیژندل کیدی شي.

PT NAD څه کوي؟: د اپلیکیشن پروتوکولونه تجزیه کوي او په ډیټابیس کې پارس شوي ساحې خوندي کوي ، نو د معلوماتو امنیت شنونکی کولی شي فلټرونه وکاروي ترڅو په ډیټابیس کې ټول شکمن VPN اړیکې یا کراس ډومین اړیکې ومومي.

7. T1078: معتبر حسابونه

په بهرنیو او داخلي خدماتو کې د واک لپاره د معیاري، محلي یا ډومین اسنادو کارول.

PT NAD څه کوي؟: په اتوماتيک ډول د HTTP، FTP، SMTP، POP3، IMAP، SMB، DCE/RPC، SOCKS5، LDAP، Kerberos پروتوکولونو څخه اسناد ترلاسه کوي. په عموم کې، دا د ننوتلو، پټنوم او د بریالي تصدیق نښه ده. که دوی کارول شوي وي، دوی د ورته ناستې کارت کې ښودل شوي.

اعدام

څنګه د ترافیک تحلیل سیسټمونه د PT شبکې برید کشف مثال په کارولو سره د MITER ATT&CK په کارولو سره د هیکر تاکتیکونه کشف کوي
د اعدام په تاکتیکونو کې هغه تخنیکونه شامل دي چې برید کونکي په جوړ شوي سیسټمونو کې د کوډ اجرا کولو لپاره کاروي. د ناوړه کوډ چلول د برید کونکو سره مرسته کوي شتون رامینځته کړي (د دوام تاکتیک) او په شبکه کې لرې پرتو سیسټمونو ته لاسرسی پراخوي د احاطې دننه حرکت کولو سره.

PT NAD تاسو ته اجازه درکوي د 14 تخنیکونو کارول کشف کړئ چې د برید کونکو لخوا د ناوړه کوډ اجرا کولو لپاره کارول کیږي.

1. T1191: CMSTP (د مایکروسافټ اتصال مدیر پروفایل انسټالر)

یو تاکتیک په کوم کې چې برید کونکي د جوړ شوي وینډوز یوټیلیټ CMSTP.exe (د اتصال مدیر پروفایل انسټالر) لپاره ځانګړي ناوړه نصب INF فایل چمتو کوي. CMSTP.exe فایل د پیرامیټر په توګه اخلي او د ریموټ اتصال لپاره د خدماتو پروفایل نصبوي. د پایلې په توګه، CMSTP.exe د ریموټ سرورونو څخه د متحرک لینک کتابتونونو (*.dll) یا سکریپټ (*.sct) بارولو او اجرا کولو لپاره کارول کیدی شي.

PT NAD څه کوي؟: په اتوماتيک ډول د HTTP ټرافیک کې د INF فایلونو ځانګړي ډولونو لیږد کشف کوي. سربیره پردې ، دا د ریموټ سرور څخه د ناوړه سکریپټ لیټونو او متحرک لینک کتابتونونو HTTP لیږد کشف کوي.

2. T1059: کمانډ لاین انٹرفیس

د کمانډ لاین انٹرفیس سره تعامل. د کمانډ لاین انٹرفیس د ځایی یا لیرې سره تعامل کیدی شي ، د مثال په توګه د ریموټ لاسرسي اسانتیاو کارول.

PT NAD څه کوي؟: په اتوماتيک ډول د مختلف کمانډ لاین اسانتیاوو لکه ping، ifconfig پیل کولو لپاره د قوماندې د ځوابونو پراساس د شیل شتون کشف کوي.

3. T1175: د اجزاو څیز ماډل او توزیع شوی COM

د COM یا DCOM ټیکنالوژیو کارول په محلي یا لیرې پرتو سیسټمونو کې د کوډ اجرا کولو لپاره پداسې حال کې چې په شبکه کې حرکت کوي.

PT NAD څه کوي؟: مشکوک DCOM تلیفونونه کشف کوي چې برید کونکي معمولا د برنامو پیلولو لپاره کاروي.

4. T1203: د مراجعینو د اجرا لپاره استخراج

په کاري سټیشن کې د خپل سري کوډ اجرا کولو لپاره د زیان منونکو څخه ګټه پورته کول. د برید کونکو لپاره خورا ګټورې ګټې هغه دي چې کوډ ته اجازه ورکوي چې په لیرې سیسټم کې اجرا شي، ځکه چې دوی کولی شي برید کونکو ته اجازه ورکړي چې هغه سیسټم ته لاسرسی ومومي. دا تخنیک د لاندې میتودونو په کارولو سره پلي کیدی شي: ناوړه بریښنالیک ، د براوزر استحصال سره یوه ویب پا ،ه او د غوښتنلیک زیانونو څخه لرې استخراج.

PT NAD څه کوي؟: کله چې د بریښنالیک ټرافیک پارس کول، PT NAD دا په ضمیمه کې د اجرا وړ فایلونو شتون لپاره ګوري. په اتوماتيک ډول د بریښنالیکونو څخه د دفتر اسناد استخراج کوي چې ممکن استحصال ولري. د زیانونو څخه د ګټې اخیستنې هڅې په ټرافیک کې لیدل کیږي، کوم چې PT NAD په اوتومات ډول کشف کوي.

5. T1170: mshta

د mshta.exe استعمال وکاروئ، کوم چې د .hta توسیع سره د مایکروسافټ HTML غوښتنلیکونه (HTA) چلوي. ځکه چې mshta فایلونه د براوزر امنیتي ترتیباتو څخه تیریږي، برید کونکي کولی شي mshta.exe د ناوړه HTA، JavaScript، یا VBScript فایلونو اجرا کولو لپاره وکاروي.

PT NAD څه کوي؟د mshta له لارې د اجرا کولو لپاره د hta فایلونه هم د شبکې له لارې لیږدول کیږي - دا په ټرافیک کې لیدل کیدی شي. PT NAD په اتوماتيک ډول د داسې ناوړه فایلونو لیږد کشف کوي. دا فایلونه نیسي، او د دوی په اړه معلومات د سیشن کارت کې لیدل کیدی شي.

6. T1086: PowerShell

د معلوماتو موندلو او ناوړه کوډ اجرا کولو لپاره د PowerShell کارول.

PT NAD څه کوي؟: کله چې PowerShell د ریموټ برید کونکو لخوا کارول کیږي، PT NAD دا د قواعدو په کارولو سره کشف کوي. دا د PowerShell ژبې کلیدي ټکي کشف کوي چې ډیری وختونه په ناوړه سکریپټونو کې کارول کیږي او د SMB پروتوکول کې د PowerShell سکریپټونو لیږد.

7. T1053: ټاکل شوې دنده
د وینډوز ټاسک شیډولر او نورو اسانتیاو کارول په اتوماتيک ډول په ځانګړي وختونو کې برنامې یا سکریپټونه چلوي.

PT NAD څه کوي؟: بریدګر دا ډول دندې رامینځته کوي، معمولا په لیرې توګه، پدې معنی چې دا ډول ناستې په ټرافیک کې لیدل کیږي. PT NAD په اتوماتيک ډول د ATSVC او ITaskSchedulerService RPC انٹرفیسونو په کارولو سره د شکمن کاري رامینځته کولو او ترمیم عملیات کشف کوي.

8. T1064: سکریپټینګ

د برید کونکو مختلف عملونو اتومات کولو لپاره د سکریپټونو اجرا کول.

PT NAD څه کوي؟: په شبکه کې د سکریپټونو لیږد کشف کوي، دا حتی مخکې له دې چې دوی پیل شي. دا په خام ترافیک کې د سکریپټ مینځپانګه کشف کوي او د مشهور سکریپټینګ ژبو سره ورته تمدیدونو سره د فایلونو شبکې لیږد کشف کوي.

9. T1035: د خدمت اجرا کول

د وینډوز خدماتو سره متقابل عمل کولو سره د اجرا وړ فایل ، د کمانډ لاین انٹرفیس لارښوونې ، یا سکریپټ چل کړئ ، لکه د خدماتو کنټرول مدیر (SCM).

PT NAD څه کوي؟: د SMB ترافیک معاینه کوي او د خدماتو رامینځته کولو ، بدلولو او پیل کولو قواعدو سره SCM ته لاسرسی کشف کوي.

د خدماتو پیل کولو تخنیک د ریموټ کمانډ اجرا کولو یوټیلیټ PSExec په کارولو سره پلي کیدی شي. PT NAD د SMB پروتوکول تحلیل کوي او د PSExec کارول کشف کوي کله چې دا د PSEXESVC.exe فایل یا د PSEXECSVC معیاري خدمت نوم کاروي ترڅو په ریموټ ماشین کې کوډ اجرا کړي. کارونکي اړتیا لري د اجرا شوي امرونو لیست او د کوربه څخه د ریموټ کمانډ اجرا کولو مشروعیت وګوري.

په PT NAD کې د برید کارت د تاکتیکونو او تخنیکونو په اړه معلومات ښیې چې د ATT&CK میټرکس مطابق کارول کیږي ترڅو کارونکي پوه شي چې برید کونکي د برید په کوم مرحله کې دي ، کوم اهداف تعقیبوي او کوم تاواني اقدامات باید ترسره شي.

څنګه د ترافیک تحلیل سیسټمونه د PT شبکې برید کشف مثال په کارولو سره د MITER ATT&CK په کارولو سره د هیکر تاکتیکونه کشف کوي

د PSExec افادیت کارولو په اړه قاعده رامینځته شوې ، کوم چې ممکن په ریموټ ماشین کې د امرونو اجرا کولو هڅه په ګوته کړي

10. T1072: د دریمې ډلې سافټویر

یو تخنیک په کوم کې چې برید کونکي د ریموټ ادارې سافټویر یا د کارپوریټ سافټویر پلي کولو سیسټم ته لاسرسی ترلاسه کوي او د ناوړه کوډ چلولو لپاره یې کاروي. د داسې سافټویر مثالونه: SCCM، VNC، ټیم ویویر، HBSS، Altiris.
په هرصورت، دا تخنیک په ځانګړې توګه د لرې پرتو کارونو لپاره د لوی لیږد سره تړاو لري او د پایلې په توګه، د شکمنو ریموټ لاسرسي چینلونو له لارې د ډیری غیر خوندي کور وسیلو پیوستون.

PT NAD څه کوي؟: په اتوماتيک ډول په شبکه کې د داسې سافټویر عملیات کشف کوي. د مثال په توګه ، مقررات د VNC پروتوکول او د EvilVNC Trojan فعالیت له لارې د اړیکو له لارې رامینځته شوي ، کوم چې په پټه توګه د قرباني کوربه کې د VNC سرور نصبوي او په اوتومات ډول یې پیلوي. همچنان ، PT NAD په اوتومات ډول د ټیم ویویر پروتوکول کشف کوي ، دا د تحلیل کونکي سره مرسته کوي ، د فلټر په کارولو سره ، دا ډول ټولې ناستې ومومي او د دوی مشروعیت چیک کړي.

11. T1204: د کارونکي اجرا کول

یو تخنیک چې پکې کاروونکي فایلونه چلوي چې کولی شي د کوډ اجرا کولو لامل شي. دا کیدی شي، د بیلګې په توګه، که هغه د اجرا وړ فایل خلاص کړي یا د میکرو سره د دفتر سند چلوي.

PT NAD څه کوي؟: دا ډول فایلونه د لیږد په مرحله کې ګوري، مخکې له دې چې پیل شي. د دوی په اړه معلومات د غونډو په کارت کې مطالعه کیدی شي چیرې چې دوی لیږدول شوي.

12. T1047: د وینډوز مدیریت وسیله

د WMI وسیلې کارول، کوم چې د وینډوز سیسټم برخو ته محلي او لیرې لاسرسی چمتو کوي. د WMI په کارولو سره، برید کونکي کولی شي د ځایی او لرې پرتو سیسټمونو سره اړیکه ونیسي او مختلف کارونه ترسره کړي، لکه د کشف موخو لپاره د معلوماتو راټولول او په لیرې توګه د پروسې پیل کول پداسې حال کې چې وروسته حرکت کوي.

PT NAD څه کوي؟: څرنګه چې د WMI له لارې د ریموټ سیسټمونو سره تعاملات په ټرافیک کې لیدل کیږي، PT NAD په اوتومات ډول د WMI ناستې رامینځته کولو لپاره د شبکې غوښتنې کشف کوي او د سکریپټونو لپاره ترافیک ګوري چې WMI کاروي.

13. T1028: د وینډوز ریموټ مدیریت

د وینډوز خدمت او پروتوکول کارول چې کارونکي ته اجازه ورکوي چې د ریموټ سیسټمونو سره اړیکه ونیسي.

PT NAD څه کوي؟: د وینډوز ریموټ مدیریت په کارولو سره رامینځته شوي شبکې اړیکې ګوري. دا ډول ناستې د مقرراتو لخوا په اوتومات ډول کشف کیږي.

14. T1220: XSL (د تمدید وړ سټایل شیټ ژبه) سکریپټ پروسس کول

د XSL سټایل مارک اپ ژبه د XML فایلونو کې د معلوماتو پروسس او لید تشریح کولو لپاره کارول کیږي. د پیچلو عملیاتو مالتړ لپاره، د XSL معیار په مختلفو ژبو کې د ایمبیډ شوي سکریپټونو ملاتړ شامل دی. دا ژبې د خپل سري کوډ اجرا کولو ته اجازه ورکوي، کوم چې د سپینو لیستونو پراساس د امنیتي تګلارو د بای پاس لامل کیږي.

PT NAD څه کوي؟: په شبکه کې د داسې فایلونو لیږد کشف کوي، دا حتی مخکې له دې چې دوی پیل شي. دا په اتوماتيک ډول د XSL فایلونه کشف کوي چې په شبکه کې لیږدول کیږي او د غیر متناسب XSL مارک اپ سره فایلونه.

په لاندې موادو کې، موږ به وګورو چې څنګه د PT شبکې برید کشف NTA سیسټم د MITER ATT&CK سره سم نور برید کونکي تاکتیکونه او تخنیکونه لټوي. ولاړ شه!

لیکوالان:

  • انتون کوتیپوف، د PT متخصص امنیت مرکز کې متخصص، مثبت ټیکنالوژي
  • نتالیا کازانکووا، په مثبت ټیکنالوژیو کې د محصول بازار موندونکی

سرچینه: www.habr.com

Add a comment