SilentButDeadly：一款可阻断EDR/AV网络通信的新型工具
内容提要
安全研究人员Ryan Framiñán开发了开源工具SilentButDeadly，通过切断EDR和杀毒软件的网络通信来干扰其运行。该工具利用Windows过滤平台创建临时网络阻断规则，适用于红队演练和恶意软件分析，确保不留下持久性痕迹，降低取证风险。
关键要点
-
安全研究人员Ryan Framiñán开发了开源工具SilentButDeadly，旨在干扰EDR和杀毒软件的运行。
-
该工具通过Windows过滤平台创建临时网络阻断规则，适用于红队演练和恶意软件分析。
-
SilentButDeadly基于EDRSilencer技术，切断出站数据上传和入站命令接收，增强操作安全性。
-
执行流程包括权限验证、核心发现、网络阻断和服务干扰四个阶段。
-
支持的目标包括SentinelOne、Windows Defender和Defender ATP，提供多种命令行选项。
-
检测风险包括WFP事件日志和服务修改，建议防御方监控WFP变更。
-
该工具已在GitHub上发布，引发了关于EDR依赖性的讨论，强调构建不过度依赖持续连接的架构的必要性。
延伸解读
工具的应用场景
SilentButDeadly工具特别适合红队演练和恶意软件分析，因为它能够在不留下持久性痕迹的情况下切断EDR和杀毒软件的网络通信。这种隐蔽的网络隔离方法使得安全测试人员能够更有效地评估系统的安全性，同时降低被检测的风险。
潜在的检测风险
使用SilentButDeadly时，安全团队需要关注WFP事件日志和服务修改等检测风险。特别是WFP事件日志可能会记录网络阻断的活动，因此建议防御方定期监控这些日志，以便及时发现异常行为并采取相应措施。
EDR依赖性的讨论
该工具的发布引发了对EDR依赖性的深入讨论。随着网络威胁的演变，安全架构需要更加灵活，避免过度依赖持续的网络连接。构建具有本地缓存能力的EDR设计将有助于提升系统的抗风险能力。
延伸问答
SilentButDeadly工具的主要功能是什么？
SilentButDeadly工具通过切断EDR和杀毒软件的网络通信来干扰其运行，确保不留下持久性痕迹。
SilentButDeadly是如何实现网络阻断的？
该工具利用Windows过滤平台创建临时的双向网络阻断规则，阻止出站数据上传和入站命令接收。
SilentButDeadly适用于哪些目标？
该工具支持的目标包括SentinelOne、Windows Defender和Defender ATP。
SilentButDeadly的执行流程包括哪些阶段？
执行流程包括权限验证、核心发现、网络阻断和服务干扰四个阶段。
使用SilentButDeadly工具时需要注意哪些检测风险？
检测风险包括WFP事件日志和服务修改，建议防御方监控WFP变更。
SilentButDeadly工具的开发者是谁？
该工具由安全研究人员Ryan Framiñán开发。
