Куда я попал?
SECURITM это система для корпоративных служб информационной безопасности,
которая автоматизирует ключевые процессы управления:
контроль соответствия требованиям, управление рисками, учет активов, планирование работ,
задачи, технические уязвимости, опросы и т.д.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.
SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом в рамках сообщества служб безопасности.
Злоумышленники могут подменять библиотеки пакетов аутентификации на произвольные библиотеки. Библиотеки DLL пакета проверки подлинности Windows загружаются процессом Local Security Authority (LSA) при запуске системы.
Злоумышленники могут использовать механизм автозапуска, предоставляемый пакетами аутентификации LSA для закрепления в инфраструктуре, поместив ссылку на двоичный файл в расположение реестра Windows:
HKLM\SYSTEM\CurrentControlSet\Control\Lsa\ со значением ключа "Пакеты аутентификации"=<целевой двоичный файл>.
Техники ATT@CK:
T1547.002
Boot or Logon Autostart Execution:
Authentication Package
Adversaries may abuse authentication packages to execute DLLs when the system boots. Windows authentication package DLLs are loa...
Связанные риски
| Риск | Угроза | Уязвимость | Тип актива | Связи | |
|---|---|---|---|---|---|
|
Закрепление злоумышленника в ОС
из-за
подмены библиотек пакетов аутентификации в Local Security Authority
в ОС Windows
Повышение привилегий
НСД
|
Закрепление злоумышленника в ОС
Повышение привилегий
НСД
|
Подмена библиотек пакетов аутентификации в Local Security Authority |