Ders 1.40: osquery ile kalıcılık avı

Geri dönmek isteyen bir saldırgan kalıcılık bırakır: bir cron satırı, bir systemd hizmeti, bir SSH anahtarı, setuid bir kabuk. Her birinin kendi dosya biçimi ve yeri vardır; her sunucuda bunları elle denetlemek yavaştır ve kolayca hata yapılır. osquery'de her biri için bir tablo var. Laboratuvarda sipariş API sunucusu app03, web07 ile aynı adresle konuşmuş. Onu altı sorguyla tarıyor, dosya değiştirme zamanlarından bir zaman penceresi kuruyor ve özetleri filonun geri kalanı için gösterge olarak dışa aktarıyorsun.

18 dk

Bu derste öğreneceklerin

cron, systemd, SSH anahtarları ve setuid dosyaları tablo olarak sorgulamak
Bir zaman penceresi kurmak için dosya mtime'larını kullanmak
users ile authorized_keys'i birleştirmek
Göstergeleri JSON olarak dışa aktarmak
Her kalıcılık türünün neden önemli olduğunu açıklamak

Temel terimler

Kalıcılık: Bir yeniden başlatma ya da temizlikten sonra saldırganın kodunu geri getiren her şey.
crontab tablosu: /etc/crontab, /etc/cron.d ve kullanıcı crontab'larındaki tüm cron satırları.
systemd_units: Durumları ve fragment_path'leri (kullanılan birim dosyası) ile birimler.
authorized_keys tablosu: Kullanıcıların authorized_keys dosyalarındaki her SSH anahtarı; users ile birleştirilir.
suid_bin: İkili dizinlerinde setuid ya da setgid biti olan dosyalar.
IOC: Ele geçirilme göstergesi: bilinen kötü etkinliği işaretleyen bir özet, adres ya da ad.

← Dosya zaman çizelgeleri ve zaman damgası oynama · Tüm dersler · Zararlı yazılım nasıl girer →