Paul Troncone and Carl Albing Cybersecurity Ops with bash Attack, Defend, and Analyze from the Command Line

Глава 4. Принципы защиты и нападения
63
ленники.по.мере.их.бокового.смещения.по.сети.оставляют.постоянные.бэкдоры.
(«черные.ходы»).в.системах,.которые.впоследствии.помогут.восстановить.доступ.
и.затруднить.полное.удаление.опорных.точек.из.сети,.если.будет.обнаружена.их.
активность.
Сохранение присутствия
Злоумышленники,.как.правило,.не.поддерживают.постоянное.сетевое.подклю-
чение.к.вредоносным.программам,.внедренным.в.целевую.систему.и.распростра-
няющим.действие.по.всей.целевой.сети,.поскольку.это.увеличивает.вероятность.
обнаружения.этих.вредоносных.программ..В.качестве.альтернативы.злоумышлен-
ники.могут.периодически.вызывать.внедренные.вредоносные.программы.на.свой.
командно-административный.(C&C).сервер,.чтобы.эти.программы.могли.получать.
автоматические.инструкции.или.прямые.указания.от.человека..Это.действие,.про-
исходящее.на.этапе.«Сохранение.присутствия»,.известное.как.
установка маяка
.
(beaconing),.является.частью.общего.обслуживания,.которое.злоумышленник.
должен.выполнить,.чтобы.сохранить.свое.присутствие.в.сети.
Завершение миссии
Последняя.фаза.жизненного.цикла.атаки,.или.
завершение миссии
,.позволяет.зло-
умышленнику.выполнить.свою.работу..Эта.фаза.часто.принимает.форму.сбора.
и.отсылки.информации.отслеживания.из.целевой.сети..Чтобы.избежать.обнару-
жения,.злоумышленники.пытаются.маскировать.эксфильтрацию.(постепенное.
просачивание).под.обычный.трафик,.используя.для.этого.стандартные.порты.
и.протоколы,.такие.как.HTTP,.HTTPS.и.DNS.
Несмотря на то что не все вторжения завершаются эксфильтрацией данных, этот 
этап также часто называют заключительной фазой.
Выводы
Компьютерная.безопасность.—.это.комплекс.мер.по.защите.информации.и.систем,.
хранящих.или.обрабатывающих.информацию..Информация.должна.быть.доступ-
ной.для.чтения.и.изменяться.только.уполномоченными.сторонами..Она.должна.
быть.доступна.там,.где.она.необходима..Кроме.того,.требуется.гарантия,.что.доступ.

---

64
Часть I • Основы
к.системе.смогут.получить.только.авторизованные.объекты,.а.все.их.действия.
должны.регистрироваться.
Атака.всегда.проходит.согласно.определенному.плану,.обычно.называемому.жиз-
ненным.циклом.атаки..Атака.начинается.с.выбора.цели.и.проведения.разведки.
и.заканчивается.удалением.данных.или.разрушением.системы.
Дополнительные сведения о методах атак, связанных с этой и аналогичными 
моделями эксплуатации, можно получить в системе MITRE: Adversarial Tactics, 
Techniques & Common Knowledge (ATT&CK) (https://attack.mitre.org/).
Во.второй.части.мы.рассмотрим,.как.можно.использовать.командную.строку.для.
выполнения.операций.кибербезопасности.с.помощью.сбора,.обработки.и.анализа.
данных.

---