Genian EDR을 활용한 리눅스 위협 분석 (Persistence#1)

공격자는 피해자의 시스템에 침투한 이후, 지속성(Persistence)을 확보하기 위한 과정을 거치게 됩니다. 지속성을 유지하지 못한다면, 침투에 성공해도 시스템 재시작, 계정 변경 등의 이유로 액세스를 유지하지 못해 정보 유출, 파일 암호화 등의 최종적인 목표를 이룰 수 없기 때문입니다. 따라서 공격자들은 지속성을 유지하는 기술을 연구하며, 발전시키고 있습니다. MITRE ATT&CK에...

Service Creation via Local Kerberos Authentication | Elastic Security Solution [8.14]

Identifies a suspicious local successful logon event where the Logon... action : "service-installed"] by winlog.event_data.SubjectLogonId Framework: MITRE ATT&CK TM Tactic: Name: Privilege...

MITRE ATT&CK 프레임워크란?

MITRE ATT&CK® 프레임워크는 위협 헌터, 방어자, 레드팀에서 공격을 분류, 공격 특성과 목표를 파악하고 기업에 미치는 리스크를 평가하는 데 도움이 되도록 고안된 전술 및 기법 지식 기반입니다. 기업에서는 이 프레임워크를 사용해 보안 간극을 파악하고 리스크에 따라 완화 방안의 우선순위를 정할 수 있습니다.

ATT&CK을 이용해 스스로 평가하기 (APT3, Second Scenario)

Background ; MITRE ATT&CK Evaluation은 보안 솔루션(제품 및 서비스)이 알려진 공격으로부터 어떻게 대응할 수 있는지 이해하기 위한 목적이 있습니다. 공격자 그룹의 목적에 따른 공격흐름(Operation Flow)과 공격기법(Techniques), 각 공격기법에 대한 세부적인 절차(Procedures)를 하나의 시나리오를 제작하여 에뮬레이션(Emulation) 하는 것입니다. 근본적인 목적은 공격자 관점의 공격행위에 대한 이해와 세부적인 결과 공유를 통해 보 ...

Defending Infrastructure-as-a-Service with ATT&CK® | by Ingrid Skoog | MITRE-Engenuity

of ATT&CK techniques that target Infrastructure-as-a-Service (IaaS), and ensuring that the... a local version of the ATT&CK knowledge base. It is primarily used to create new techniques or...

Google Cloud Platform Capabilities Mapped to MITRE ATT&CK® | by Ingrid Skoog | MITRE-Engenuity

We are also interested in exploring new ways to visualize and help users understand how their local security capabilities stack up against adversary behaviors. While we have provided ATT&CK...

System&Network Security - Mapping MITRE ATT&CK with Window Event Log IDs

Microsoft log sources used: Windows 10 · Windows Server 2012 R2 and higher · Active Directory Domain Services (ADDS) · Active Directory Certification Services (ADCS / PKI) with online responder (OCSP) · SQL Server 2014 · Windows Defender · SYSMON v11 and higher · Exchange 2016 · Internet Information Services (IIS web server) -- planned

System Service Discovery, Technique T1007 - Enterprise | MITRE ATT&CK®

[31] S0283 jRAT jRAT can list local services. [32] G0004 Ke3chang Ke3chang performs service discovery using net start commands. [33] G0094 Kimsuky Kimsuky has used an instrumentor script to...

External Remote Services, Technique T1133 - Enterprise | MITRE ATT&CK®

There are often remote service gateways that manage connections and credential authentication for these services. Services such as Windows Remote Management and VNC can also be used externally.[1] · Access to Valid Accounts to use the service is often a requirement, which could be ob ...

Create Account: Local Account, Sub-technique T1136.001 - Enterprise | MITRE ATT&CK®

Other sub-techniques of Create Account (3) ; Adversaries may create a local account to maintain access to victim systems. Local accounts are those configured by an organization for use by users, remote support, services, or for administration on a single system or service. For example, with a sufficient level of access, the Windows net user /add command can be used to create a local account. On macOS systems the dscl -create command can be used to create a local account. Local accounts may also ...