新威胁：攻击者不仅仅是入侵，而是伪装融入
💡
原文英文，约800词，阅读约需3分钟。
📝
内容提要
恶意攻击者通过伪装成合法工作负载而非直接破坏系统进行入侵，例如RustyWater植入程序在系统中静默存在。随着基础设施可观察性的增强，攻击者的策略转向保持正常行为。现代系统中，获取执行权限变得容易，攻击者通过影响信任模型实现长期影响。因此，设计时需将控制权的明确性作为目标，以限制执行传播。
🎯
关键要点
- 恶意攻击者通过伪装成合法工作负载进行入侵，RustyWater植入程序在系统中静默存在。
- 随着基础设施可观察性的增强，攻击者的策略转向保持正常行为，系统妥协的方式变得更加隐蔽。
- 行业对可见性的投资加深，日志、指标、追踪框架等成为标准，事件解释能力成为操作成熟度的标志。
- 现代基础设施中，获取执行权限变得容易，执行的合法性在信任模型中隐含存在。
- 攻击者的挑战在于如何利用执行权限影响系统，现代系统中权威往往是继承而非明确分配。
- 云身份的妥协通常不涉及恶意软件，凭借凭证或过于宽泛的角色即可进行基础设施的创建和修改。
- 现代环境中部署的控制措施有效降低风险，但通常在执行基础之上进行评估，假设执行是被允许的。
- 共享内核和共享基础设施提高了效率，但也带来了隐含的共享权威，依赖于早期检测和快速响应。
- 一些架构方法通过限制默认权威来应对，强调将控制作为主要设计目标，而非副作用。
- 理解事件本身并不能限制执行的传播，随着系统的增长和权威的集中，解释与控制之间的差距变得更加明显。
❓
延伸问答
攻击者如何伪装成合法工作负载？
攻击者通过植入程序如RustyWater，静默存在于系统中，避免明显的威胁升级路径，从而伪装成正常的工作负载。
现代系统中获取执行权限的难易程度如何？
在现代基础设施中，获取执行权限变得相对容易，代码在服务和管道中不断运行。
可观察性在网络安全中的作用是什么？
可观察性帮助提高对系统事件的理解，成为操作成熟度的标志，但也可能被攻击者利用来保持正常行为。
攻击者如何利用云身份进行攻击？
攻击者通过获取凭证或过于宽泛的角色，能够合法地创建和修改基础设施，而不需要恶意软件。
现代环境中共享基础设施的风险是什么？
共享基础设施提高了效率，但也带来了隐含的共享权威，增加了被攻击的风险。
如何设计系统以限制执行传播？
一些架构方法通过限制默认权威，强调将控制作为主要设计目标，以应对潜在的攻击。
🏷️
标签
➡️
