Persistence and post-exploitation

Сначала про авторизацию — это карта защитника, а не руководство к действию

Всё ниже описывает жизненный цикл пост-эксплуатации — что делает нарушитель, когда у него уже выполняется код, — и объясняется так, чтобы ты мог это обнаружить и сорвать. Здесь нет атакующего инструментария, и он не нужен для понимания механизма: закрепление, латеральное движение и эксфильтрация — это поведение, оставляющее следы, и весь смысл в том, чтобы научиться распознавать эти следы в своих же логах. Единственное законное место реально отрабатывать эти техники — авторизованная работа с письменным согласованием объёма, CTF или собственноручно собранная лаборатория. В терминах MITRE ATT&CK момент, с которого мы начинаем, — код выполняется на одном хосте — это переход от Execution к длинному хвосту Persistence (TA0003), Lateral Movement, Collection и Exfiltration. Мы изучаем цепочку, чтобы защитник мог разорвать её в любом звене, потому что разрыв в любом одном звене обрушивает всю операцию.

Пробой — это плацдарм, а не цель

Самое частое заблуждение новичка в наступательной безопасности — что «получить шелл» и есть победа. Это не так — это начало работы. Закрепление на одном, часто малоценном хосте (билд-агент, маркетинговая CMS, ноутбук стажёра) почти никогда не находится там, где живёт настоящая цель атакующего. Цель — это база клиентов, ключи подписи, облачная роль администратора, репозиторий исходников. Вся фаза пост-эксплуатации — это разрыв между где ты приземлился и за чем пришёл, и он раскладывается на горстку повторяющихся задач: остаться (пережить перезагрузку, выход из сессии, смену пароля), понять (где я, что может достать эта учётка), распространиться (двигаться к целевому хосту, переиспользуя найденное) и забрать (собрать и вывести данные) — обычно достаточно тихо, чтобы успеть всё это до того, как кто-то заметит.

Именно поэтому dwell time — интервал между первичной компрометацией и обнаружением — это метрика, на которой помешана вся защитная индустрия. Отраслевые отчёты годами измеряют глобальную медиану dwell time в диапазоне примерно от одной до трёх недель — меньше, чем многие месяцы десятилетие назад, но всё равно огромный: недель хватает, чтобы построить карту целой сети, найти «коронные драгоценности» и уйти. Каждый день dwell time — это день, который атакующий проводит в фазе пост-эксплуатации, а значит, каждое обнаружение, которое ты поставишь в этой фазе, — шанс оборвать операцию ещё долго после того, как первичный взлом удался.

Закрепление: сделать плацдарм живучим

Первое, что делает грамотный атакующий после получения выполнения, — покупает живучесть, потому что его первичный доступ хрупок: перезагрузка, упавший процесс, ротированный пароль или закрытая уязвимость могут выселить его в любой момент. Закрепление (persistence) — это любой механизм, автоматически восстанавливающий выполнение кода, чтобы атакующему не пришлось переэксплуатировать исходный баг. Определяющее свойство любой техники закрепления одно: она цепляется за легитимный, автоматический триггер выполнения, так что вредоносный код запускается как побочный эффект нормального поведения системы.

Триггеры обыденны — именно поэтому они работают. Запланированная задача или cron запускает имплант каждые несколько минут или при каждой загрузке. Новый или изменённый сервис / демон стартует его при старте системы. Профиль оболочки или autostart-запись запускает его при каждом входе. В скомпрометированном облаке или CI-окружении закрепление часто выглядит ещё безобиднее: новый deploy key, токен сервисной учётки, лишний IAM-пользователь или access key, вредоносный шаг, тихо добавленный в определение пайплайна — учётные данные и конфигурация, которые переживают любую перезагрузку, потому что им так и положено. Облачная версия «пережить перезагрузку» — это «пережить выселение», и добавленный access key делает это идеально: ротируй скомпрометированный пароль — и атакующий всё равно войдёт через ключ, о существовании которого ты не знал.

Сигнал обнаружения — создание и изменение этих триггеров. Новая cron-запись, новый systemd-юнит, новый IAM access key, новый deploy key, изменение файла пайплайна — каждое из этого есть запись в чувствительную, редко меняющуюся поверхность, и каждое — высокосигнальный алерт. Рычаг защитника здесь в том, что закрепление — одно из немногих действий атакующего, которое обязано оставить долговечный артефакт: весь смысл в том, что что-то сохраняется, а значит, что-то можно найти.

Латеральное движение: распространение переиспользованием, а не переэксплуатацией

Закрепившись, атакующий редко нуждается в новом эксплойте. Доминирующая техника достижения цели — латеральное движение через переиспользование учётных данных: собрать креденшл на хосте, которым владеешь, — кешированный пароль, токен сервисной учётки, SSH-ключ, JWT сервис-аккаунта Kubernetes (K8s), облачный access key в переменной окружения — и использовать его для аутентификации на следующем хосте как легитимный пользователь. В этом суть того, почему один малоценный плацдарм так опасен: сети полны общих и переразрешённых учёток, и одна из них на твоём билд-агенте может оказаться ключом к реестру артефактов, который держит ключ к продакшену.

Механизм, делающий это разрушительным, — топология доверия. Большинство внутренних сетей построены в предположении «внутри безопасно», поэтому, оказавшись внутри, сервисы аутентифицируют друг друга долгоживущими общими секретами при плоской достижимости — любой хост может говорить с любым. Атакующий смотрит на это как на граф: каждый скомпрометированный креденшл — это ребро к новому узлу, и он идёт по графу от одноразового плацдарма к высокоценной цели. Защитные контрмеры структурны: сегментация сети (чтобы CI-хост вообще не мог достучаться до продакшен-базы), ограничение прав по least-privilege (чтобы краденый токен мог одно, а не всё) и короткоживущие / привязанные к нагрузке учётные данные (чтобы собранный секрет стал бесполезен через минуты или вне своего хоста). Сигнал обнаружения — аутентификация, нормальная сама по себе, но аномальная в контексте: эта идентичность, из этого источника, к этому назначению, в это время — такого ещё не было. Эта east-west аутентификация и есть улика, потому что креденшл валиден — нов только путь.

Эксфильтрация: последняя и самая ловимая миля

Собрать целевые данные — одно; вывести их — другое, и именно тут осторожный атакующий наиболее уязвим, потому что покидающие сеть данные — единственное действие, которое по определению обязано пересечь подконтрольную тебе границу. Поэтому ремесло эксфильтрации — это слиться с фоном: вместо того чтобы открыть подозрительное соединение к неизвестному IP и протолкнуть 4 ГБ-архив (что любой egress-монитор мгновенно пометит), атакующий туннелирует данные по уже разрешённому и уже шумному каналу. Классический выбор — HTTPS на безобидно выглядящий домен, DNS-запросы (любая сеть резолвит DNS, и данные едут в метках поддомена) или доверенный SaaS-API, который организация и так использует. Он дросселирует передачу до тонкой струйки и растягивает её на часы или дни, чтобы объём никогда не выскакивал над фоном.

Сигнал обнаружения — статистическая форма egress, а не его содержимое (которое зашифровано): необычный объём исходящих данных, новое или редкое назначение, долгоживущее низко-и-медленное соединение или DNS-трафик с аномально высокой энтропией и объёмом запросов к одному домену. Поэтому egress-фильтрация и DLP — последний рубеж: хосту, который должен говорить только с двумя внутренними сервисами, нечего делать, открывая соединение в открытый интернет, и egress-политика «allowlist по умолчанию» превращает «слиться с разрешённым трафиком» в «нет разрешённого трафика, с которым можно слиться». Структурная победа защитника здесь та же, что появляется на каждом этапе: сделать легитимные пути немногочисленными и явными, чтобы аномальный выделялся, а не прятался в море дозволенного шума.

Как зрелый инженер читает цепочку пост-эксплуатации

Объединяющий урок в том, что обнаружение в глубину зеркалит защиту в глубину: атакующему приходится сцеплять много шагов, и каждый — отдельный шанс его поймать. Зрелый инженер не ставит всё на предотвращение первичного пробоя — пробои случаются, — но инструментирует после: алерты на новые артефакты закрепления, на аномальную east-west аутентификацию, на чтения хранилищ секретов и на статистическую форму egress. Точно так же зрелый инженер структурно сокращает цепочку, чтобы каждый оставшийся шаг был громче: сегментация убирает латеральные рёбра, least-privilege сжимает то, что покупает краденый креденшл, короткоживущие учётки протухают добычу, а allowlist-egress убирает прикрытие, в котором прячется эксфильтрация. Усвоить надо то, что поимка атакующего где угодно в цепочке пост-эксплуатации обрушивает операцию — поэтому dwell time мерит не то, насколько хорош твой периметр, а то, насколько хорошо ты следишь за тем, что происходит после того, как его уже пересекли.