На пути атакующего часто стоят системы EDR, цель которых — обнаружить атаку и сообщить о ней первой линии обороны SOC. Чтобы оставаться незамеченными, пентестерам приходится обходить мониторинг. В этой статье поговорим о том, как именно это делается в случае с атаками на Windows.

Пентестерам часто приходится иметь дело со средствами мониторинга, которые необходимо обойти раньше, чем безопасники поднимут тревогу. В этой статье я расскажу, что может сделать команда обнаружения и реагирования, чтобы не проморгать атаку и вовремя заметить, что с мониторингом кто‑то химичит.

Получив доступ к взломанной системе, атакующий первым делом реализует техники уклонения от обнаружения, которые позволяют ослабить мониторинг безопасности инфраструктуры и, как следствие, действовать максимально незаметно.

Получив доступ к системе, злоумышленник первым делом пытается вывести из строя средства аудита, чтобы как можно дольше оставаться незамеченным. В этой статье я покажу, как атакующий может ослепить средства мониторинга Windows путем манипуляций с подсистемой Event Tracing for Windows (ETW).

Конфигурационный файл встроенного в Windows средства мониторинга Sysmon может разрастаться до тысячи строк, которые описывают правила отбора регистрируемых в логах событий. Стандартный набор функций Sysmon для проверки конфига неудобен и затрудняет работу аналитика. В этой статье я покажу, как составлять пайплайн CI/CD для валидации конфига Sysmon и сделать невозможной потерю событий.

Получив доступ к системе, злоумышленник первым делом пытается ослепить средства аудита, чтобы как можно дольше оставаться незамеченным. В этой статье мы с тобой попробуем ослепить Sysmon и сделать это максимально незаметно для штатного аудита Windows. Достичь этого нам позволят манипуляции с хендлами и дескрипторами безопасности.

Мы привыкли думать, что у нас всегда все хорошо в плане информационной безопасности. Чтобы удостовериться в этом, некоторые компании проводят пентест. Но существует способ убедиться в своей готовности к кибернападениям и без пентеста. Какой? Сейчас расскажем!

Проникнуть в сеть под управлением Active Directory — это только половина успеха. Другая важнейшая задача — оставаться в этой сети незамеченным как можно дольше. Поэтому сегодня мы разберем техники скрытия атаки от конкретных средств обнаружения и реагирования.

Технические специалисты, которые, расследуя ИБ-инциденты или устраняя неполадки при траблшутинге, хоть раз пытались найти в логах операционных систем семейства Microsoft Windows реально важную для них информацию, знают, что в журналы аудита событий попадает далеко не все, что нужно. Можно ли исправить эту ситуацию без дополнительных финансовых вложений с использованием инструментов, гарантированно совместимых с Windows-средой? Разумеется, можно!