T1585.001: Учетные записи соцсетей
Злоумышленники могут создавать и поддерживать учетные записи в социальных сетях, чтобы использовать их для атак. Злоумышленники могут создавать учетные записи фиктивных личностей в социальных сетях для использования в дальнейших операциях. Проработка фиктивной личности включает добавление общедоступной информации, имитацию активности в социальных сетях, создание истории и установление связей.
Использование фиктивных личностей в социальных сетях может быть важной составляющей операций с использованием социальной инженерии. Фиктивная личность может быть вымышленной или имитировать реально существующего человека. Созданная онлайн-личность может существовать на сайте одной или нескольких социальных сетей (например, Facebook, LinkedIn, Twitter и других). Создание фиктивной личности в социальных сетях может потребовать дополнительных усилий по добавлению документальных подтверждений ее существования и активности, включая заполнение профиля, развитие социальных связей и размещение фотографий.
После создания фиктивной личности злоумышленник может использовать ее для установления контактов с интересующими его жертвами. Эти связи могут быть прямыми или осуществляться через других лиц. Учетные записи фиктивных личностей могут задействоваться на различных этапах вредоносной активности, в том числе при организации первоначального доступа (см., например, технику Целевой фишинг через сторонние сервисы).
Способы обнаружения
ID | DS0029 | Источник и компонент данных | Сетевой трафик: Содержимое сетевого трафика | Описание | Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов, чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, трафик неизвестного происхождения, а также необычные синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам). |
---|
ID | DS0021 | Источник и компонент данных | Фиктивная личность: Социальные сети | Описание | По возможности отслеживайте активность, связанную с вашей организацией, в социальных сетях. Такая активность может заключаться в появлении личностей, утверждающих, что они работают в вашей организации, или в отправке новыми или недавно измененными учетными записями множества запросов на добавление в друзья учетным записям, связанным с вашей организацией. Имеет смысл сосредоточить усилия по выявлению вредоносных действий на соответствующих этапах деятельности злоумышленников — например, на этапе первоначального доступа это может быть применение техники Целевой фишинг через сторонние сервисы. |
---|
Меры противодействия
ID | M1056 | Название | Предкомпрометация | Описание | От этой техники нельзя легко защититься с помощью превентивных мер контроля, поскольку она основана на поведении, осуществляемом вне рамок корпоративных средств защиты и контроля. |
---|