Wenn ein eingedrungener Angreifer möglichst keine eigene Malware verwendet, sondern mit bereits im Betriebssystem vorhandenen legitimen Werkzeugen wie PowerShell, WMI oder den Standardfunktionen zur Fernverwaltung arbeitet, spricht man von „Living off the Land“. Welcher Ansatz zur Abwehr dieser Methode ist am besten geeignet?

Antwort: C. Aufzeichnen, von wem, mit welchen Argumenten und aus welchem Elternprozess legitime Werkzeuge gestartet werden, ungewöhnliche Verwendungen erkennen und die Personen und Endgeräte einschränken, die Verwaltungswerkzeuge nutzen dürfen

Bei Living-off-the-Land-Angriffen sind die verwendeten Programme selbst legitim und signiert; Verfahren, die bekannte Malware an Dateimerkmalen erkennen, finden sie daher nicht. Stattdessen werden mit EDR oder Logs des Betriebssystems (Aufzeichnung von PowerShell-Skripten, Prozessstarts usw.) die Argumente von Befehlen und die Eltern-Kind-Beziehungen gesammelt, und Abweichungen vom normalen Arbeitsablauf wie „eine Anwendung, die ein Dokument geöffnet hat, startet PowerShell“ oder „ein langer, kodierter Befehl wird ausgeführt“ dienen als Hinweise für die Erkennung. Zusätzlich werden die Benutzer und Endgeräte, die Verwaltungswerkzeuge nutzen dürfen, begrenzt und nur zugelassene Anwendungen zur Ausführung erlaubt, damit dem Angreifer weniger Werkzeuge zur Verfügung stehen.