حذف دسترسی‌های Local Administrator غیرضروری از کاربران و سرویس‌اکانت‌ها
محدود کردن قابلیت ساخت NTFS junction/symlink در مسیرهای قابل‌نوشتن توسط کاربر عادی (در حد امکان، با AppLocker/WDAC).
فعال‌سازی Attack Surface Reduction (ASR) rules در Defender خودش ،حتی اگر این مورد خاص را پوشش ندهد، سطح حمله‌ی کلی را پایین می‌آورد.
برای کشف:
ساخت NTFS junction یا symlink در مسیرهای قابل‌نوشتن کاربر مثل %TEMP%، %LOCALAPPDATA%، C:\ProgramData، کمی قبل از فعالیت
وmount شدن مشکوک فایل‌های virtual disk (.vhd, .vhdx)
اتصالات SMB خروجی به میزبان‌های نامعتبر
الگوهای غیرعادی در process lineage مربوط به MsMpEng.exe (مثلاً spawn شدن cmd.exe یا powershell.exe با ارث‌بری SYSTEM از پراسس Defender)
محدود کردن قابلیت ساخت NTFS junction/symlink در مسیرهای قابل‌نوشتن توسط کاربر عادی (در حد امکان، با AppLocker/WDAC).
فعال‌سازی Attack Surface Reduction (ASR) rules در Defender خودش ،حتی اگر این مورد خاص را پوشش ندهد، سطح حمله‌ی کلی را پایین می‌آورد.
برای کشف:
ساخت NTFS junction یا symlink در مسیرهای قابل‌نوشتن کاربر مثل %TEMP%، %LOCALAPPDATA%، C:\ProgramData، کمی قبل از فعالیت
وmount شدن مشکوک فایل‌های virtual disk (.vhd, .vhdx)
اتصالات SMB خروجی به میزبان‌های نامعتبر
الگوهای غیرعادی در process lineage مربوط به MsMpEng.exe (مثلاً spawn شدن cmd.exe یا powershell.exe با ارث‌بری SYSTEM از پراسس Defender)
Comments
Be the first to add a comment
Log in to comment