Ağ bağlantısı olmaması gereken süreçlerden gelen bağlantılar
Saldırı framework'leri ajanlarını çoğu zaman başka bir sürecin içinde çalıştırır: o sürece kod enjekte ederek ya da imzalı bir programın yüklediği bir DLL'i yerine koyarak. Süreç bu durumda komuta kontrol sunucusuyla zararsız bir adla konuşur. Kayıtlarda Not Defteri dört makinede bir enjeksiyon ya da DLL hijack sonrasında dışarı bağlandı; .NET aracı InstallUtil de beşinci bir makinede dışarı bağlandı. Temiz Windows 10 istemcisi 1.792 bağlantı yapıyor: tarayıcılar, Office, güncelleme ve senkronizasyon servisleri ve Windows bileşenleri. Ağı kullanmak için bir nedeni olmayan süreçlerden gelen 20 bağlantıyı bulun.
İpucu 1
Image bağlantıyı açan süreçtir. Bir iş istasyonunda hangi programların ağa ihtiyaç duyduğunu değil, hangilerinin hiç duymadığını sorun.
İpucu 2
Saldırı trafiğinin hepsi laboratuvarın sunucusu 10.10.10.5'e gidiyor. Gerçek bir sunucunun adresi bir saldırıdan diğerine değişir; sürece dayanan bir kural yine çalışır.
Ele geçirilmiş süreçlerden gelen komuta kontrol trafiğine karşı nasıl savunulur
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.146 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.