Abwehr raffinierter Angriffe testen: Mac

HINWEIS: Diese Befehle nehmen vorübergehende Änderungen am Rechner vor, um reale Beispiele vorzuführen. Es wird jedoch keine echte Malware verwendet. In der Windows-basierten virtuellen CloudShare-Umgebung können Sie jedoch auch Szenarios für Tests mit echter Malware erstellen. Die entsprechenden Anweisungen finden Sie im Leitfaden für Windows.

ⓘ Diese Erkennung illustriert die Fähigkeit von Falcon, mit IOAs auf schädliche Verhaltensweisen zu reagieren. Ein Angriffsindikator (IOA) stellt eine Reihe von Schritten dar, die eine Anwendung oder ein Angreifer für einen erfolgreichen Angriff ausführen muss. IOAs geben Informationen über die Durchführung dieser Schritte, die Absicht des Bedrohungsakteurs und die Ergebnisse, die dieser zu erzielen versucht. Sie haben gegenüber Kompromittierungsindikatoren (IOCs) oder Signaturen den Vorteil, dass Falcon Prevent damit neue und unbekannte Bedrohungen blockieren kann. Dieser Befehl fertigt eine Kopie von „whoami“ mit der Erweiterung „pdf“ an und führt sie dann aus. Eine Änderung der Erweiterung eines vorhandenen Tools löst in Falcon eine Erkennung eines Verschleierungsversuchs aus. Der Befehl schließt das Entfernen der Datei ein, sodass keine zusätzliche Bereinigung oder Umbenennung erforderlich ist.

Credential Dumping ist der Prozess, bei dem Anmeldedaten und Kennwort für ein Konto aus dem Betriebssystem oder der Software gewonnen werden, normalerweise im Format eines Hash oder eines Klartext-Kennworts. Die Anmeldedaten können dann für laterale Bewegungen und den Zugriff auf Daten verwendet werden, die Zugriffsbeschränkungen unterliegen. Der unten aufgeführte Befehl fragt das „shadowhash“ für einen Benutzer über das Terminal ab. Dieser Befehl kann auf einem MacOS-Host verwendet werden, um Informationen zur Entschlüsselung von Kennwörtern zu erhalten. Nach der Ausführung des Befehls ist auf dem System keine Bereinigung erforderlich.