Возвращение утраченных позиций: Восстановление после атак LOTL

В случае обнаружения факта компрометации необходимо применение защитных контрмер.

Действия немедленного реагирования

📌Сброс учётных данных для привилегированных и непривилегированных учётных записей в пределах границ доверия каждой скомпрометированной учётной записи.

📌Принудительный сброс пароля, отзыв и выдача новых сертификатов для всех учётных записей и устройств.

Действия, относящиеся к среде Windows:

📌При подозрении на доступ к Контроллеру домена (DC) или Active Directory (AD) сброс паролей всех локальных учётных записей, включая Guest, HelpAssistant, DefaultAccount, System, Administrator и krbtgt. Учётную запись krbtgt, которая обрабатывает запросы на регистрацию Kerberos, следует дважды сбросить для обеспечения безопасности из-за истории с двумя паролями.

📌Если есть подозрение, что файл ntds.dit подвергался эксфильтрации, требуется сброс пароля всех пользователей домена.

📌Просмотр и коррекция политики доступа для временного отзыва или уменьшения права доступа для затронутых учётных записей и устройств.

📌Сброс учётных данных учётной записи без повышенных прав доступа: если доступ атакующего ограничен правами, сброс соответствующих учётным данным ключа доступа и отслеживание дальнейших признаков несанкционированного доступа, особенно к учётным записям администраторов.

Аудит конфигурации сети и устройств

Аудит сетевых устройств и пограничных устройств: проверка наличия признаков несанкционированных или вредоносных изменений конфигурации. Если изменения обнаружены:

📌 Требуется изменения всех учётных данных, используемых для управления сетевыми устройствами, включая ключи и строки, обеспечивающие функции сетевого устройства.

📌 Обновление всех прошивок и программного обеспечения до последних версий.

Использование инструмента удалённого доступа

📌 Минимизация удалённого доступа и контроль: следование рекомендациям по обеспечению безопасности средств и протоколов удалённого доступа, включая рекомендации по безопасности программного обеспечения удалённого доступа и безопасному использованию PowerShell.