Promena vremenskih oznakaTimestomping
Promena vremenskih oznaka je nameštanje datuma kreiranja, izmene ili pristupa fajlu da bi njegov nastanak izgledao starije ili nepovezano sa napadom. Cilj nije da fajl nestane, već da ispadne iz očekivanog redosleda događaja.
Pojam
opis · primeri · napomenePromena vremenskih oznaka je nameštanje datuma kreiranja, izmene ili pristupa fajlu da bi njegov nastanak izgledao starije ili nepovezano sa napadom. Cilj nije da fajl nestane, već da ispadne iz očekivanog redosleda događaja.
Opis
Najčešće se menja vreme koje korisnik lako vidi, dok fajl sistem na drugim mestima zadržava trag stvarne promene. Kopiranje takođe menja pojedine oznake, pa nesklad sam po sebi nije dovoljan; sumnjivo je kada vreme ide unazad bez normalnog objašnjenja.
Više fajlova sa potpuno istim vremenom još je jači signal, jer redovan rad retko pravi takvu podudarnost.
Primeri
- Nov maliciozni fajl dobija datum stariji od foldera u kojem se nalazi.
- Biblioteka kopirana tokom upada dobija vreme iste izmene kao sistemski fajlovi.
- Više napadačkih alata dobija potpuno istu vremensku oznaku.
- Fajl nastao posle prijave prikazuje datum od nekoliko meseci ranije.
Napomene
- Promena vremena narušava redosled događaja, ali ne uklanja druge tragove nastanka fajla.
- Prirodne promene pri kopiranju razlikuju se od namernog vraćanja datuma unazad.
Pretnje
koriste 3Pretnje koje je koriste. Klik vodi na stranicu pojma.
Odbrane
suzbija 4Kako se suzbija. Klik vodi na stranicu pojma.