La technique par laquelle un intrus évite autant que possible ses propres logiciels malveillants et opère avec les outils légitimes déjà présents dans le système d'exploitation, comme PowerShell, WMI et les fonctions standard d'administration à distance, s'appelle « living off the land ». Quelle façon d'envisager les contre-mesures à cette technique est la plus appropriée ?

Réponse : C. Enregistrer qui a exécuté les outils légitimes, avec quels arguments et depuis quel processus parent, détecter les usages inhabituels, et limiter les personnes et les appareils pouvant utiliser les outils d'administration

Dans une attaque « living off the land », les programmes utilisés sont eux-mêmes légitimes et signés ; les méthodes qui reconnaissent les logiciels malveillants connus à leurs caractéristiques de fichier ne peuvent donc pas la détecter. On collecte plutôt les arguments des commandes et les relations parent-enfant avec l'EDR et les journaux du système d'exploitation (comme la journalisation des scripts PowerShell et l'enregistrement des créations de processus), et la détection s'appuie sur des usages qui s'écartent du travail normal, comme « PowerShell lancé par une application qui a ouvert un document » ou « une longue commande encodée a été exécutée ». En outre, limiter les utilisateurs et les appareils pouvant utiliser les outils d'administration et n'autoriser que les applications approuvées réduit les outils à la disposition de l'attaquant.