IT-Forensik: Mit KAPE und Microsoft Autoruns Persistenzmechanismen aufdecken

Inhaltsverzeichnis

Angreifern steht eine große Zahl unterschiedlicher Persistenzmechanismen zur Verfügung, mit denen sie sich dauerhaft auf einem System einnisten können. Allein in der Windows-Matrix der Wissenssammlung MITRE ATT&CK Framework sind 87 solcher Mechanismen dokumentiert. Dieses Framework ist eine systematische, kategorisierte Aufstellung von Verhaltensmustern, die bei Angreifern und Schadsoftware beobachtet wurde.

In den letzten Jahren wurde sie zu einer zentralen Referenz und zum täglichen Werkzeug für Experten sowohl offensiver als auch defensiver IT-Sicherheit. Zu jeder Angriffstechnik (Techniques und Sub-Techniques) gibt es auf der Webseite des Projekts MITRE-ATT&CK eine Kurzbeschreibung, eine Liste von Angreifern und Schadsoftware, die sie angewendet haben, Empfehlungen zu relevanten Schutzmaßnahmen und Hinweise zur Detektion.

Mehr zum Thema IT-Forensik

• Forensik-Tool in der Praxis: Mit Velociraptor auf Spurensuche
• Einstieg in die Malware-Analyse, Teil 1: Phasen der Analyse erklärt
• Malware-Analyse per OSINT und Sandbox, Teil 2: Forensik
• Statische Malware-Analyse, Teil 3: Hilfreiche Tools für die Einschätzung
• Malware-Analyse Teil 4: Aktivitäten der Malware aufzeichnen und auswerten
• Neue Verteidigungsansätze in der IT-Security: EDR und XDR
• IT-Forensik: Einführung in Kroll Artifact Parser and Extractor
• IT-Forensik: Mit KAPE und Microsoft Autoruns Persistenzmechanismen aufdecken
• IT-Forensik: Browser-Historie auswerten und verstehen
• IT-Forensik: Spuren eines Angreifers aufdecken mit KAPE

Das Ausfindigmachen der Sicherheitslücke, über die ein Angreifer oder eine Malware einen Angriff begonnen hat und in ein IT-System eingedrungen ist, ist ein wichtiger Bestandteil bei der Bewältigung eines Informationssicherheitsvorfalls. Ihre Schließung soll sicherstellen, dass es nicht zu einer erneuten Kompromittierung kommt. Dies allein reicht aber nicht aus.

Das war die Leseprobe unseres heise-Plus-Artikels "IT-Forensik: Mit KAPE und Microsoft Autoruns Persistenzmechanismen aufdecken". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.