一、引言

在前几期文章中我们介绍了ATT&CK中侦察、资源开发、初始访问、执行、持久化、提权战术、防御规避（一）理论知识及实战研究，本期我们为大家介绍ATT&CK 14项战术中防御规避战术（二），包括防御规避6项子技术，后续会介绍防御规避其他子技术，敬请关注。

二、ATT&CK v12简介

MITRE ATT&CK 是一个全球可访问的基于现实世界观察的攻防战术和技术知识库。ATT&CK知识库被用作在私营部门、政府以及网络安全产品和服务社区中开发特定威胁模型和方法的基础。2022年10月25日发布的ATT&CK v12版本更新了适用于企业、移动设备和 ICS（工业控制系统）框架的技术、组和软件。v12最大的变化是在ATT&CK中增加了ICS的检测，描述了检测各种ICS技术的方法，每种方法都与特定的数据源和数据组件相关联，检测功能既利用了传统的主机和基于网络的采集，也利用了ICS特定的来源，如资产和运营数据库等。ATT&CK v12 for Enterprise包含14个战术、193个技术、401个子技术、135个组织、718个软件。

ATT&CK战术全景图（红框为防御规避战术）

三、防御规避战术

3.1 概述

防御逃避包括攻击者在攻击过程中用来避免被发现的技术，包括禁用安全软件、加密数据和脚本、利用可信进程来隐藏或伪装恶意软件。防御规避战术包括42种技术，本期介绍前7-12种技术，逐一介绍如下：

3.2 部署容器（T1610）

攻击者可以将容器部署到环境中以逃避防御，攻击者通过部署新容器以执行与特定镜像相关联的进程，例如下载恶意软件的进程。新容器配置没有网络规则、用户限制等，以绕过环境中的现有防御。
3.2.1 缓解措施

3.2.2 检测

3.3 直接访问卷（T1006）

攻击者可以直接访问卷以绕过文件访问控制和文件系统监控。Windows允许程序直接访问逻辑卷，具有直接访问权限的程序可以通过分析文件系统数据结构直接从驱动器读取和写入文件。在PowerShell中存在用于执行这些操作的程序（如Ninja Copy）。
3.3.1 检测

3.4 修改组策略（T1484）

攻击者可以修改域配置，以逃避域环境中的防御或升级特权。对域设置的修改包括更改域组策略对象或更改域的信任设置，包括联合身份验证信任。由于域配置控制AD环境中的许多交互，因此有大量潜在攻击可能利用，包括修改Gpo以将恶意计划任务推送到整个域环境中的计算机，或者修改域信任以包含一个攻击者控制域，可以控制访问令牌。攻击者还可以更改AD环境中的配置，以实现恶意域控制器。攻击者可以临时修改域策略，执行恶意操作，然后恢复更改以删除可疑痕迹。修改组策略技术包含2个子技术，介绍如下：
3.4.1 组策略修改（T1484.001）攻击者可能会修改组策略对象以修改域的访问控制，用于升级特权。组策略允许集中管理AD中的用户和计算机设置。Gpo是用于组策略设置的容器，由存储在可预测网络路径\\SYSVOL\\Policies\中的文件组成。与AD中的其他对象一样，Gpo具有与其关联的访问控制。默认情况下，域中的所有用户帐户都有权读取Gpo。恶意Gpo修改可用于实施许多其他恶意行为，例如计划任务、禁用或修改工具、入口工具传输、创建帐户、服务执行等。由于Gpo可以在AD环境中控制很多用户和计算机设置，因此有大量潜在的攻击可能源于Gpo利用。
3.4.2 域信任修改（T1484.002）攻击者可以添加新的域信任或修改现有域信任的属性，以逃避防御或提升特权。域信任详细信息允许在域之间应用身份验证和授权属性，以便访问共享资源。这些信任对象可能包括帐户、凭据和应用于服务器、令牌和域的其他身份验证材料。攻击者可以操纵域信任来添加自己的签名证书，还可以将域转换为联合域，启用恶意信任修改，作为有效的凭据集。
3.4.3 缓解措施

3.4.4 检测

3.5 执行范围保护（T1480）

攻击者可以使用执行范围保护来约束执行，确保有效载荷仅针对预期目标执行，并减少攻击者活动的损害。攻击者可以提供有关目标系统的值，以用作执行范围保护，包括特定的网络共享名称、附加的物理设备、文件、加入的活动目录域和IP地址等。使用执行范围保护将涉及检查预期目标特定值并仅在存在此类匹配时执行，可用于防止在内部操作的环境中暴露能力。执行范围保护技术包含1项子技术，介绍如下：
3.5.1 环境键控（T1480.001）攻击者可能使用恶意软件的有效负载，以逃避对特定目标环境的防御和约束执行。环境键控是执行范围保护的一种实现，它利用加密技术从给定计算环境中的特定类型的值派生加解密密钥。目标特定值可以从特定网络共享、物理设备、软件、文件、加入的AD域、系统时间和IP地址等派生。环境键控可用于向目标传递加密的有效载荷，该目标将在执行之前使用特定于目标的值来解密有效载荷。通过从目标特定的环境值生成解密密钥，环境密钥可以使沙箱检测、防病毒检测和逆向工程变得困难。这些困难可以减缓事件响应过程，并帮助攻击者隐藏他们的战术，技术和程序。
3.5.2 缓解措施

3.5.3 检测

3.6 利用漏洞规避防御（T1211）

攻击者可能利用系统或应用程序漏洞绕过防御。当攻击者利用程序、服务或操作系统软件或内核本身中的编程错误来执行恶意代码时，就会出现软件漏洞的利用。攻击者可通过侦察知道防御性安全软件中可能存在漏洞，可用于禁用或规避漏洞。
3.6.1 缓解措施

3.6.2 检测

3.7 修改文件和目录权限（T1222）

攻击者可以修改文件或目录权限以逃避访问控制列表ACL和访问受保护的文件。文件和目录权限由文件或目录所有者配置的ACL管理，明确指定哪些用户或组可以执行哪些操作（读取、写入、执行等）。修改文件和目录权限技术包含2项子技术，介绍如下：
3.7.1 Windows文件和目录权限修改（T1222.001）Windows实现文件和目录Acl作为自由访问控制列表(Dacl)。与标准ACL类似，Dacls标识允许或拒绝访问安全对象的帐户。当尝试访问安全对象时，系统会按顺序检查Dacl中的访问控制条目。如果找到匹配的条目，则授予对该对象的访问权限，否则访问被拒绝。攻击者可以使用内置的Windows命令（如icacls、cacls、takeown和attrib）与Dacl交互，这些命令可以授予攻击者对特定文件和文件夹的更高权限。此外，PowerShell还提供可用于检索或修改文件和目录Dacl的cmdlet。
3.7.2 Linux和Mac文件和目录权限修改（T1222.002）大多数Linux和基于Linux的平台都提供了一组标准权限组（用户、组和其他）以及应用于每个组的一组标准权限（读取、写入和执行）。大多数平台都提供了两个用于操作文件和目录Acl的主要命令：chown和chmod。攻击者可以使用这些命令使自己成为文件和目录的所有者，或者在当前权限允许的情况下更改模式，可以将其他人锁定在文件之外。
3.7.3 缓解措施

3.7.4 检测

四、总结

本期主要介绍了防御规避战术（二）及技术/子技术原理，下期将给大家介绍防御规避战术（三）涉及的技术原理。敬请关注。