Living-off-the-Land
Living-off-the-Land Современные атаки все чаще обходятся без единого вредоносного файла, рассказывают представители UDV Group. Злоумышленник получает доступ к учетке через фишинг, подбор пароля или забытую сессию подрядчика и дальше работает исключительно легитимными инструментами: PowerShell, WMI, RDP, SSH, а в АСУ ТП еще и промышленными протоколами вроде Modbus и S7. Сигнатурные антивирусы и классические EDR такую активность не видят, потому что формально все запущенные программы родные для системы, а новых исполняемых файлов просто нет. Главная сложность здесь — это контекст. Само по себе использование PowerShell или RDP не является аномалией, проблема в том, кто, откуда и зачем это делает. В АСУ ТП, где старые Windows на слабом железе не тянут современные агенты, а если контроллеры нельзя патчить, этот вектор становится особенно критичным. Единственный способ заметить атаку — отслеживать сетевые аномалии. Инженерная станция внезапно обратилась к незнакомому контроллеру, в сегменте появились редкие команды остановки, подключение пришло из нерабочего времени и с чужого IP – все это важные сигналы. Решением становится пассивный анализ трафика (NTA), который не требует установки ПО на узлы и не нагружает критичную инфраструктуру. Он выявляет отклонения от нормального поведения, а не конкретные сигнатуры. @antiinfosec