ATT&CK之系统服务

by FatFish

on 6月 8, 2021

定义与手法

cloudfall

对手可能滥用系统服务或守护进程来执行命令或程序。他们可以通过与服务交互或创建服务来执行恶意内容。许多服务被设置为在启动时运行，这有助于实现(创建或修改系统进程)的持久性，但对手也可能只是一次性或临时性地进行服务滥用。

这种手法也有两种衍生手法，同时，创修或修改系统进程的攻击手法，胖头鱼也会在后面的内容中一一为大家介绍，敬请期待呀~

缓解措施

cloudfall

名称	描述
特权账户管理	确保权限禁止服务的运行由级别较高的权限进行，并确保此权限由具有较低权限级别的用户创建或与之产生交互
限制文件以及目录权限	确保较高权限的服务二进制文件不能被较低权限级别的用户替换或修改
用户账户管理	防止用户安装自己的启动代理程序或启动守护进程

检测方法

cloudfall

监视可以修改服务的工具命令行调用，这些修改可能不符合正常使用模式，并与已知软件及补丁周期不符。此外，监视对可执行文件和与服务相关的其他文件的更改。对Windows服务的更改也可能反映在注册表中。

**参考来源：ATT&CK，胖头鱼编译，欢迎转载，转载请注明出处，非常感谢~~

关于我们

云纷科技自成立以来，将“安全运营中心（SOC）”分层分解，以更灵活的模块化方式交付“下一代安全运营服务”，高效整合人、技术和流程，为不同的企业客户提供符合现状和中远期发展的安全运营能力。同时，以十年安全管理经验为依托，我们的安全托管服务（MSS）可以为企业提供7*24小时全天候安全保障，全面提高企业安全抵御能力，为抵抗威胁建立可靠屏障。

云纷希望在为客户建立运营体系的同时，结合自身对于安全的理解和知识，协同利用开发能力、开发并调用各类自动以及半自动化工具，为客户提供最切合实际的安全运营服务，最终帮助用户清晰定位威胁、降低风险，提高整体安全水平。