Lažiranje evidencijeLog Tampering
Lažiranje evidencije je brisanje, menjanje ili privremeno zaustavljanje sistemskih zapisa radi skrivanja određene aktivnosti. Prazna evidencija je upadljiva, pa napadač češće uklanja izabrane događaje ili pravi kratak prekid.
Pojam
opis · primeri · napomeneLažiranje evidencije je brisanje, menjanje ili privremeno zaustavljanje sistemskih zapisa radi skrivanja određene aktivnosti. Prazna evidencija je upadljiva, pa napadač češće uklanja izabrane događaje ili pravi kratak prekid.
Opis
Ako se zapisi odmah šalju na drugi sistem, lokalno brisanje nije dovoljno. Napadač tada prvo prekida slanje, obavlja posao, a zatim ga ponovo uključuje, ostavljajući vremensku rupu umesto očigledne greške.
Isti događaj često beleže računar, kontroler domena i mrežni uređaj. Zahvat uspeva samo ako se njihovi zapisi ne uporede.
Primeri
- Zapisi o jednoj administratorskoj prijavi uklanjaju se, dok ostatak evidencije ostaje netaknut.
- Beleženje procesa se zaustavlja nekoliko minuta i ponovo uključuje posle izvršenja komande.
- Slanje događaja ka centralnom sistemu prekida se neposredno pre sumnjive aktivnosti.
- Lokalna evidencija nema događaj koji se i dalje vidi na kontroleru domena.
Napomene
- Pražnjenje evidencije proizvodi novi događaj, pa može biti glasnije od selektivnog brisanja.
- Nesklad između nezavisnih izvora pouzdaniji je trag od same rupe u jednom zapisu.
Pretnje
koriste 3Pretnje koje je koriste. Klik vodi na stranicu pojma.
Odbrane
suzbija 4Kako se suzbija. Klik vodi na stranicu pojma.