De techniek waarbij een indringer zo min mogelijk eigen malware gebruikt en werkt met legitieme hulpmiddelen die al in het besturingssysteem aanwezig zijn, zoals PowerShell, WMI en de standaardfuncties voor beheer op afstand, heet „living off the land”. Welke denkwijze over tegenmaatregelen tegen deze techniek is het meest passend?

Antwoord: C. Vastleggen wie de legitieme hulpmiddelen uitvoerde, met welke argumenten en vanuit welk ouderproces, ongebruikelijk gebruik detecteren, en de personen en apparaten beperken die beheerhulpmiddelen mogen gebruiken

Bij een living-off-the-landaanval zijn de gebruikte programma's zelf legitiem en ondertekend, dus methoden die bekende malware aan bestandskenmerken herkennen, kunnen de aanval niet detecteren. In plaats daarvan worden de argumenten van opdrachten en de ouder-kindrelaties met EDR en logs van het besturingssysteem verzameld (zoals de registratie van PowerShell-scripts en van het starten van processen), en steunt de detectie op gebruik dat afwijkt van het normale werk, zoals „PowerShell gestart door een applicatie die een document heeft geopend” of „een lange gecodeerde opdracht werd uitgevoerd”. Daarnaast verkleint het beperken van de gebruikers en apparaten die beheerhulpmiddelen mogen gebruiken, en alleen goedgekeurde applicaties laten draaien, de hulpmiddelen die de aanvaller ter beschikking staan.