T1561.002: Нарушение структуры диска

Злоумышленники могут повредить или стереть структуры данных на жестком диске, от которых зависит загрузка системы, на отдельных критически важных системах в сети или массово с целью нарушения доступа к системным и сетевым ресурсам.

Злоумышленники могут попытаться саботировать загрузку системы, перезаписав важные данные в таких структурах, как главная загрузочная запись (MBR) или таблица разделов. Данные в этих структурах диска могут содержать исполняемый код для начальной загрузки операционной системы или информацию о расположении разделов файловой системы. Без этой информации компьютер не сможет загрузить операционную систему во время запуска, в результате чего им нельзя будет пользоваться. Нарушение структуры диска может выполняться в отдельности или одновременно с удалением содержимого диска, если стираются все сектора диска.

На сетевых устройствах злоумышленники могут отформатировать файловую систему, используя такие команды интерпретаторов командной строки сетевых устройств, как format.

Чтобы причинить целевой организации максимальный ущерб, злоумышленники могут добавить во вредоносное ПО для нарушения структуры диска аналогичную червям функциональность для распространения по сети с использованием таких техник, как Существующие учетные записи, Получение дампа учетных данных и Общие SMB- и административные ресурсы Windows.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

mitre_attck_impact: PT-CR-493: Disk_Wipe: Обнаружение попыток безвозвратно удалить данные или часть данных на жестком диске

Способы обнаружения

ID	DS0027	Источник и компонент данных	Драйвер: Загрузка драйвера	Описание	Monitor for unusual kernel driver installation activity may corrupt or wipe the disk data structures on a hard drive necessary to boot a system; targeting specific critical systems or in large numbers in a network to interrupt availability to system and network resources.

ID	DS0016	Источник и компонент данных	Накопитель: Изменения в накопителе	Описание	Monitor for changes made to drive letters or mount points of data storage devices for attempts to read to sensitive locations like the partition boot sector, master boot record, disk partition table, or BIOS parameter block/superblock.

ID	DS0016	Источник и компонент данных	Накопитель: Доступ к накопителю	Описание	Monitor for newly constructed drive letters or mount points to a data storage device for attempts to write to sensitive locations like the partition boot sector, master boot record, disk partition table, or BIOS parameter block/superblock.

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	Monitor executed commands and arguments that may corrupt or wipe the disk data structures on a hard drive necessary to boot a system; targeting specific critical systems or in large numbers in a network to interrupt availability to system and network resources.

ID	DS0009	Источник и компонент данных	Процесс: Создание процесса	Описание	Monitor newly executed processes that may corrupt or wipe the disk data structures on a hard drive necessary to boot a system; targeting specific critical systems or in large numbers in a network to interrupt availability to system and network resources.

ID	Источник и компонент данных	Описание
DS0027	Драйвер: Загрузка драйвера	Monitor for unusual kernel driver installation activity may corrupt or wipe the disk data structures on a hard drive necessary to boot a system; targeting specific critical systems or in large numbers in a network to interrupt availability to system and network resources.
DS0016	Накопитель: Изменения в накопителе	Monitor for changes made to drive letters or mount points of data storage devices for attempts to read to sensitive locations like the partition boot sector, master boot record, disk partition table, or BIOS parameter block/superblock.
DS0016	Накопитель: Доступ к накопителю	Monitor for newly constructed drive letters or mount points to a data storage device for attempts to write to sensitive locations like the partition boot sector, master boot record, disk partition table, or BIOS parameter block/superblock.
DS0017	Команда: Выполнение команд	Monitor executed commands and arguments that may corrupt or wipe the disk data structures on a hard drive necessary to boot a system; targeting specific critical systems or in large numbers in a network to interrupt availability to system and network resources.
DS0009	Процесс: Создание процесса	Monitor newly executed processes that may corrupt or wipe the disk data structures on a hard drive necessary to boot a system; targeting specific critical systems or in large numbers in a network to interrupt availability to system and network resources.

Меры противодействия

ID	M1053	Название	Создание резервной копии данных	Описание	Consider implementing IT disaster recovery plans that contain procedures for taking regular data backups that can be used to restore organizational data. Ensure backups are stored off system and is protected from common methods adversaries may use to gain access and destroy the backups to prevent recovery.

ID	Название	Описание
M1053	Создание резервной копии данных	Consider implementing IT disaster recovery plans that contain procedures for taking regular data backups that can be used to restore organizational data. Ensure backups are stored off system and is protected from common methods adversaries may use to gain access and destroy the backups to prevent recovery.