एडवांसरी टैक्टिक्स, तकनीक और सामान्य ज्ञान (ATT @ CK) सीखें। एंटरप्राइज टैक्टिक्स। भाग 9

डेटा संग्रह

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

एक समझौता किए गए वातावरण में डेटा एकत्र करने की तकनीकों में इसे आगे की घुसपैठ के लिए तैयार करने के लिए पहचान करने, स्थानीयकरण और सीधे लक्षित जानकारी (उदाहरण के लिए, गोपनीय फाइलें) एकत्र करने के तरीके शामिल हैं। सूचना संग्रह विधियों का विवरण सिस्टम या नेटवर्क में सूचना भंडारण स्थानों के विवरण को भी कवर करता है जिसमें विरोधी इसे खोज और एकत्र कर सकते हैं।

एटीटी और सीके में प्रस्तुत अधिकांश डेटा संग्रह तकनीकों के कार्यान्वयन के संकेतक ऐसी प्रक्रियाएं हैं जो कई बार पढ़ने के लिए इनपुट / आउटपुट डिवाइसों या खुली फाइलों से लक्ष्य जानकारी को पकड़ने के लिए एपीआई, डब्ल्यूएमआई, पावरशेल, सीएमडी या बैश का उपयोग करते हैं और फिर प्राप्त डेटा को फाइल सिस्टम या नेटवर्क पर एक विशिष्ट स्थान पर कॉपी करते हैं। । डेटा संग्रह के दौरान जानकारी को एन्क्रिप्ट किया जा सकता है और संग्रह फ़ाइलों में जोड़ा जा सकता है।

Windows पर AppLocker और Sofware प्रतिबंध नीतियों, स्थानीय सिस्टम के बाहर संवेदनशील जानकारी के भंडारण, एन्क्रिप्शन और संग्रहण जैसे अधिकारों का उपयोग करने के लिए उपकरणों का उपयोग करके संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर की पहचान और अवरोधन, डेटा संग्रहण के खिलाफ सुरक्षा के लिए अधिकारों की प्रतिबंध सामान्य सिफारिशों के रूप में पेश किए जाते हैं। नेटवर्क निर्देशिकाओं और कॉर्पोरेट जानकारी भंडारण के लिए उपयोगकर्ता की पहुँच, एक पासवर्ड नीति का अनुप्रयोग और एक संरक्षित वातावरण में दो-कारक प्रमाणीकरण।

लेखक लेख में निर्धारित जानकारी को लागू करने के संभावित परिणामों के लिए जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है।

ऑडियो कैप्चर

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: गोपनीय रिकॉर्डिंग को आगे सुनने के लिए ऑडियो रिकॉर्डिंग्स को कैप्चर करने के लिए एक सहायक कंप्यूटर बाह्य उपकरणों (उदाहरण के लिए, एक माइक्रोफोन या एक वेब कैमरा) या एप्लिकेशन (उदाहरण के लिए, आवाज और वीडियो कॉलिंग सेवाओं) का उपयोग कर सकता है। दुर्भावनापूर्ण सॉफ़्टवेयर या स्क्रिप्ट का उपयोग ऑपरेटिंग सिस्टम या एप्लिकेशन द्वारा प्रदान किए गए एपीआई कार्यों के माध्यम से परिधीय उपकरणों के साथ बातचीत करने के लिए किया जा सकता है। एकत्रित ऑडियो फ़ाइलों को बाद की एक्सफ़िलिएशन के साथ एक स्थानीय डिस्क में रिकॉर्ड किया जा सकता है।

सुरक्षा युक्तियाँ: उपरोक्त तकनीक का प्रत्यक्ष विरोध मुश्किल हो सकता है क्योंकि इसके लिए एपीआई के उपयोग पर विस्तृत नियंत्रण की आवश्यकता होती है। एपीआई कार्यों की विविधता के कारण दुर्भावनापूर्ण गतिविधि का पता लगाना भी मुश्किल हो सकता है।

सिस्टम के हमले के उद्देश्य के आधार पर, एपीआई के उपयोग पर डेटा पूरी तरह से बेकार हो सकता है या इसके विपरीत, सिस्टम में होने वाली अन्य दुर्भावनापूर्ण गतिविधियों का पता लगाने के लिए सामग्री प्रदान कर सकता है। दुश्मन गतिविधि का एक संकेतक उपकरणों या सॉफ़्टवेयर से जुड़े एपीआई तक पहुंचने की एक अज्ञात या असामान्य प्रक्रिया हो सकती है जो माइक्रोफोन, रिकॉर्डिंग डिवाइस, रिकॉर्डिंग प्रोग्राम या एक प्रक्रिया है जो समय-समय पर उन फ़ाइलों को लिखती है जिनमें ऑडियो डेटा डिस्क से होता है।

स्वचालित संग्रह

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: एक हमलावर आंतरिक डेटा एकत्र करने के लिए ऑटोमेशन टूल का उपयोग कर सकता है, जैसे स्क्रिप्ट, कुछ मानदंडों को पूरा करने वाली जानकारी को खोजने और कॉपी करने के लिए - फ़ाइल प्रकार, स्थान, नाम, समय अंतराल। इस कार्यक्षमता को दूरस्थ पहुँच उपयोगिताओं में भी एकीकृत किया जा सकता है। फ़ाइलों की पहचान करने और उन्हें स्थानांतरित करने के उद्देश्य से डेटा संग्रह को स्वचालित करने की प्रक्रिया में, फ़ाइलों और निर्देशिकाओं ( फ़ाइल और निर्देशिका डिस्कवरी ) का पता लगाने के लिए तकनीक और रिमोट फाइल कॉपी ( रिमोट फ़ाइल कॉपी ) को अतिरिक्त रूप से लागू किया जा सकता है।

सुरक्षा सिफारिशें: सिस्टम के बाहर गोपनीय जानकारी का एन्क्रिप्शन और भंडारण फ़ाइल संग्रह का मुकाबला करने का एक तरीका है, हालांकि यदि घुसपैठ लंबे समय तक रहता है, तो विरोधी अन्य तरीकों से डेटा का पता लगा सकता है और उसका उपयोग कर सकता है। उदाहरण के लिए, इनपुट को इंटरसेप्ट करके, सिस्टम में स्थापित एक कीलॉगर संरक्षित दस्तावेजों को डिक्रिप्ट करने के लिए पासवर्ड एकत्र करने में सक्षम है। ब्रूट बल द्वारा ऑफ़लाइन एन्क्रिप्टेड दस्तावेजों की हैकिंग को रोकने के लिए, आपको मजबूत पासवर्ड का उपयोग करना चाहिए।

क्लिपबोर्ड डेटा

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: विरोधियों को विंडोज क्लिपबोर्ड से डेटा एकत्र किया जा सकता है, जो सूचनाओं की नकल के दौरान या अनुप्रयोगों के अंदर उपयोगकर्ताओं द्वारा इसमें संग्रहीत किया जाता है।

विंडोज
अनुप्रयोग Windows API का उपयोग करके क्लिपबोर्ड डेटा तक पहुंच सकते हैं।

MacOS
OSX में क्लिपबोर्ड सामग्री को कैप्चर करने के लिए एक अंतर्निहित pbpast कमांड है।

संरक्षण की सिफारिशें: क्लिपबोर्ड की सामग्री पर कब्जा करने से जुड़े व्यवहार की पहचान के आधार पर सॉफ़्टवेयर को ब्लॉक न करें, जैसा कि क्लिपबोर्ड तक पहुंच कई विंडोज अनुप्रयोगों की एक मानक विशेषता है। यदि संगठन अनुप्रयोगों के इस व्यवहार को ट्रैक करने का निर्णय लेता है, तो निगरानी डेटा की तुलना अन्य संदिग्ध या गैर-उपयोगकर्ता कार्यों के साथ की जानी चाहिए।

डेटा का मंचन

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक्सफ़िलिएशन से पहले, एकत्रित डेटा को आमतौर पर एक विशिष्ट निर्देशिका में रखा जाता है। डेटा को अलग-अलग फ़ाइलों में संग्रहीत किया जा सकता है या संपीड़न या एन्क्रिप्शन का उपयोग करके एकल फ़ाइल में जोड़ा जा सकता है। इंटरएक्टिव कमांड गोले को उपकरण के रूप में इस्तेमाल किया जा सकता है, एक मध्यवर्ती स्थान पर डेटा को कॉपी करने के लिए cmd और बैश कार्यक्षमता का उपयोग किया जा सकता है।

सूचना रिपॉजिटरी से डेटा

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: विरोधी सूचना भंडार से बहुमूल्य जानकारी निकाल सकते हैं - उपकरण जो आपको जानकारी संग्रहीत करने की अनुमति देते हैं, एक नियम के रूप में, उपयोगकर्ताओं के बीच सहयोग या डेटा विनिमय का अनुकूलन करने के लिए। सूचना भंडारण में डेटा की एक विशाल श्रृंखला हो सकती है जो हमलावरों को अन्य लक्ष्यों को प्राप्त करने या लक्षित जानकारी तक पहुंच प्रदान करने में मदद कर सकती है।

निम्नलिखित जानकारी की एक छोटी सूची है जो सूचना भंडार और एक हमलावर को संभावित मूल्य में मिल सकती है:

• नीतियां, प्रक्रियाएं और मानक;
• भौतिक / तार्किक नेटवर्क की योजनाएं;
• सिस्टम आर्किटेक्चर की योजनाएं;
• तकनीकी प्रणाली प्रलेखन;
• परीक्षण / विकास के लिए साख;
• कार्य / परियोजना योजना;
• स्रोत कोड के स्निपेट्स;
• नेटवर्क निर्देशिकाओं और अन्य आंतरिक संसाधनों के लिए लिंक।

जानकारी के सामान्य भंडार:

Microsoft SharePoint
यह कई कॉर्पोरेट नेटवर्क में स्थित है और अक्सर इसका उपयोग महत्वपूर्ण मात्रा में प्रलेखन को संग्रहीत करने और आदान-प्रदान करने के लिए किया जाता है।

एटलसियन संगम
अक्सर एटलसियन JIRA के साथ विकास के वातावरण में पाया जाता है। संगम का उपयोग आमतौर पर विकास-संबंधी प्रलेखन को संग्रहीत करने के लिए किया जाता है।

सुरक्षा सिफारिशें: सूचना संग्रह से डेटा संग्रह को रोकने के लिए अनुशंसित उपाय:

• सूचना स्टोर में दर्ज की जाने वाली स्वीकार्य जानकारी को परिभाषित करने वाली नीतियों का विकास और प्रकाशन;
• अभिगम नियंत्रण तंत्र का कार्यान्वयन, जिसमें प्रमाणीकरण और संबंधित प्राधिकरण दोनों शामिल हैं;
• कम से कम विशेषाधिकार के सिद्धांत को सुनिश्चित करना;
• खाता विशेषाधिकारों की आवधिक समीक्षा;
• मान्य मान्य खातों तक पहुँच को रोकें जिनका उपयोग सूचना रिपॉजिटरी तक पहुँचने के लिए किया जा सकता है।

चूंकि सूचना भंडार में आमतौर पर काफी बड़ा उपयोगकर्ता आधार होता है, इसलिए उनके दुर्भावनापूर्ण उपयोग का पता लगाना एक गैर-तुच्छ कार्य हो सकता है। कम से कम, विशेषाधिकार प्राप्त उपयोगकर्ताओं (उदाहरण के लिए, डोमेन, एंटरप्राइज या शेमा एडमिन) द्वारा किए गए सूचना भंडारण तक पहुंच को सावधानीपूर्वक निगरानी और रोका जाना चाहिए, क्योंकि इन प्रकार के खातों का उपयोग स्टोरेज में डेटा तक पहुंचने के लिए नहीं किया जाना चाहिए। यदि यह निगरानी करना और सतर्क करना संभव है, तो आपको उन उपयोगकर्ताओं को ट्रैक करना होगा जो बड़ी संख्या में दस्तावेज़ और पृष्ठ पुनर्प्राप्त करते हैं और देखते हैं। यह व्यवहार सॉफ़्टवेयर के संचालन को इंगित कर सकता है जो भंडारण से डेटा को पुनर्प्राप्त करता है। उच्च-परिपक्वता वाले वातावरण में, उपयोगकर्ता-व्यवहार विश्लेषण (यूबीए) सिस्टम का उपयोग उपयोगकर्ता व्यवहार में असामान्यताओं का पता लगाने के लिए किया जा सकता है।

Microsoft SharePoint को विशिष्ट पृष्ठों और दस्तावेज़ों के लिए उपयोगकर्ता की पहुँच लॉग करने के लिए कॉन्फ़िगर किया जा सकता है। Confluence Atlassian में, समान लॉगिंग को AccessLogFilter के माध्यम से कॉन्फ़िगर किया जा सकता है। अधिक कुशल पहचान के लिए लॉग को संग्रहीत करने और विश्लेषण करने के लिए संभवतः अतिरिक्त बुनियादी ढांचे की आवश्यकता होगी।

स्थानीय प्रणाली से डेटा

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: गोपनीय डेटा स्थानीय प्रणाली स्रोतों से प्राप्त किया जा सकता है, जैसे कि फ़ाइल सिस्टम या डेटाबेस, आगे की घुसपैठ के उद्देश्य से।

हमलावर अक्सर कंप्यूटर पर उन फ़ाइलों की तलाश करते हैं जिन्हें उन्होंने हैक किया था। वे कमांड लाइन इंटरफ़ेस (cmd) का उपयोग करके ऐसा कर सकते हैं। डेटा संग्रह की प्रक्रिया को स्वचालित करने के तरीकों का भी उपयोग किया जा सकता है।

नेटवर्क साझा ड्राइव से डेटा

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: संवेदनशील डेटा दूरस्थ सिस्टम से एकत्र किया जा सकता है जिसमें सार्वजनिक रूप से सुलभ नेटवर्क ड्राइव (स्थानीय नेटवर्क फ़ोल्डर या फ़ाइल सर्वर) उपलब्ध है।

लक्ष्य फ़ाइलों का पता लगाने के लिए, एक हमलावर कंप्यूटर पर नेटवर्क संसाधनों की खोज कर सकता है जिन्हें समझौता किया गया है। जानकारी एकत्र करने के लिए, इंटरैक्टिव कमांड शेल और कॉमन कमांड लाइन फ़ंक्शन दोनों का उपयोग किया जा सकता है।

रिमूवेबल मीडिया से डेटा (रिमूवेबल मीडिया से डेटा)

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: संवेदनशील डेटा को किसी भी निकाले जाने योग्य मीडिया (ऑप्टिकल ड्राइव, यूएसबी ड्राइव, आदि) से एक समझौता किए गए सिस्टम से जोड़ा जा सकता है।

लक्ष्य फ़ाइलों का पता लगाने के लिए, एक हमलावर समझौता किए गए कंप्यूटर पर हटाने योग्य मीडिया की खोज कर सकता है। जानकारी एकत्र करने के लिए, इंटरेक्टिव कमांड शेल और कॉमन कमांड लाइन फ़ंक्शन, साथ ही डेटा संग्रह के लिए स्वचालन उपकरण दोनों का उपयोग किया जा सकता है।

ईमेल संग्रह

सिस्टम: विंडोज
विवरण: गोपनीय जानकारी एकत्र करने के लिए, हमलावर कस्टम इलेक्ट्रॉनिक मेलबॉक्स का उपयोग कर सकते हैं। ईमेल में निहित डेटा आउटलुक डेटा फ़ाइलों (। Pst) या कैश फ़ाइलों (.ost) से प्राप्त किया जा सकता है। उपयोगकर्ता क्रेडेंशियल होने के बाद, एक विपक्षी सीधे Exhange सर्वर के साथ बातचीत कर सकता है और आउटलुक वेब एक्सेस जैसे बाहरी ईमेल वेब इंटरफ़ेस तक पहुंच प्राप्त कर सकता है।

सुरक्षा सिफारिशें: एन्क्रिप्शन का उपयोग ई-मेल द्वारा प्रेषित गोपनीय जानकारी के लिए सुरक्षा की एक अतिरिक्त परत प्रदान करता है। असममित एन्क्रिप्शन का उपयोग करना एन्क्रिप्शन कुंजी के साथ निजी प्रमाण पत्र प्राप्त करने के लिए विरोधी की आवश्यकता होगी। सार्वजनिक वेब मेल सिस्टम में टू-फैक्टर ऑथेंटिकेशन का उपयोग किसी अन्य व्यक्ति की क्रेडेंशियल्स का उपयोग करके हमलावर की संभावना को कम करने के लिए सबसे अच्छा अभ्यास है।

एक हमलावर द्वारा लक्षित ईमेल प्राप्त करने के कई तरीके हैं, जिनमें से प्रत्येक का अपना स्वयं का पता लगाने का तंत्र है। दुर्भावनापूर्ण गतिविधि के संकेतक हो सकते हैं: बाद के बहिष्कार के लिए स्थानीय सिस्टम ईमेल डेटा फ़ाइलों तक पहुंच, नेटवर्क पर ईमेल सर्वर से कनेक्ट होने वाली असामान्य प्रक्रियाएं, साथ ही सार्वजनिक ईमेल वेब सर्वर पर एटिपिकल एक्सेस पैटर्न और प्रमाणीकरण प्रयास। ट्रैक प्रक्रियाएं और कमांड लाइन तर्क जो ईमेल डेटा फ़ाइलों को इकट्ठा करने के लिए उपयोग किए जा सकते हैं। रिमोट एक्सेस टूल सीधे विंडोज एपीआई के साथ बातचीत कर सकते हैं। WMI या PowerShell जैसे विभिन्न Windows प्रबंधन टूल का उपयोग करके डेटा को पुनर्प्राप्त किया जा सकता है।

इनपुट कैप्चर

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: प्रशासक, प्रणाली
विवरण: हमलावर मौजूदा खातों की साख प्राप्त करने के लिए उपयोगकर्ता इनपुट पर कब्जा करने के साधनों का उपयोग कर सकते हैं। कीलॉगिंग सबसे आम प्रकार का उपयोगकर्ता इनपुट कैप्चर है, जिसमें कीस्ट्रोक्स को बाधित करने के कई अलग-अलग तरीकों को शामिल किया गया है, लेकिन लक्ष्य जानकारी प्राप्त करने के लिए अन्य तरीके भी हैं जैसे कि UAC अनुरोध करना या डिफ़ॉल्ट क्रेडेंशियल प्रदाता (विंडोज क्रेडेंशियल प्रोवाइडर) के लिए शेल लिखना। क्रेडेंशियल चोरी करने का सबसे आम तरीका है जब क्रेडेंशियल डंपिंग तकनीकों का उपयोग अक्षम है और हमलावर को एक निश्चित अवधि के लिए निष्क्रिय रहने के लिए मजबूर किया जाता है।

उपयोगकर्ता क्रेडेंशियल्स को इकट्ठा करने के लिए, एक हमलावर बाहरी कॉर्पोरेट पोर्टल्स पर एक सॉफ्टवेयर कीलॉगर भी स्थापित कर सकता है, उदाहरण के लिए, वीपीएन लॉगिन पृष्ठ पर। यह एक पोर्टल या सेवा द्वारा वैध प्रशासनिक पहुंच प्राप्त करने के बाद समझौता करने के बाद संभव है, जो बदले में प्रारंभिक पहुंच प्राप्त करने और सिस्टम में इसे सुरक्षित करने के चरणों में बैकअप एक्सेस प्रदान करने के लिए आयोजित किया जा सकता है।

सुरक्षा सिफारिशें: AppLocker या सॉफ़्टवेयर प्रतिबंध नीतियों जैसे टूल का उपयोग करके संभावित रूप से खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर का पता लगाना और अवरुद्ध करना सुनिश्चित करें। क्षति को कम करने के उपाय करें यदि कोई हमलावर क्रेडेंशियल्स प्राप्त करता है। अपने कॉर्पोरेट नेटवर्क के विकास और प्रशासन के लिए Microsoft की सर्वोत्तम प्रथाओं का पालन ​​करें।

Keyloggers रजिस्ट्री को संशोधित कर सकते हैं और ड्राइवरों को स्थापित कर सकते हैं। आमतौर पर उपयोग किए जाने वाले एपीआई फ़ंक्शंस SetWindowsHook, GetKeyState, GetAsyncKeyState हैं। API फ़ंक्शन को कॉल केवल कीलिंग का संकेत नहीं हो सकता है, लेकिन रजिस्ट्री परिवर्तनों के विश्लेषण के साथ संयोजन में, ड्राइवर की स्थापना और डिस्क पर नई फ़ाइलों की उपस्थिति दुर्भावनापूर्ण गतिविधि का संकेत दे सकती है। रजिस्ट्री में कस्टम क्रेडेंशियल प्रदाताओं की उपस्थिति को ट्रैक करें:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers

मैन इन ब्राउज़र (मैन इन ब्राउज़र (मित्ब), ब्राउज़र पिविंग)

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: विभिन्न MitB हमले के तरीकों के दौरान, एक विरोधी, पीड़ित के ब्राउज़र की भेद्यता का लाभ उठाते हुए, दुर्भावनापूर्ण प्रोग्राम का उपयोग करके वेब सामग्री को संशोधित कर सकता है, उदाहरण के लिए, एक पृष्ठ पर इनपुट फ़ील्ड्स जोड़ें, उपयोगकर्ता इनपुट को संशोधित करें, जानकारी को इंटरसेप्ट करें। एक विशिष्ट उदाहरण वह स्थिति है जब कोई हमलावर ब्राउज़र में सॉफ़्टवेयर इंजेक्ट करता है जो कुकीज़, HTTP सत्र, क्लाइंट एसएसएल क्लाइंट प्रमाणपत्रों को विरासत में प्राप्त करने की अनुमति देता है और ब्राउज़र को प्रमाणित करने और इंट्रानेट पर जाने के तरीके के रूप में उपयोग करता है।

एक हमले के लिए SeDebugPrivilege विशेषाधिकारों और उच्च अखंडता प्रक्रियाओं (अंडरस्टैंडिंग प्रोटेक्टेड मोड) की आवश्यकता होती है। HTTP प्रॉक्सी, HTTP और HTTPS सेट करके, ट्रैफ़िक को एक ब्राउज़र ब्राउज़र के माध्यम से हमलावर के ब्राउज़र से पुनर्निर्देशित किया जाता है। उसी समय, उपयोगकर्ता ट्रैफ़िक नहीं बदलता है, और ब्राउज़र बंद होते ही प्रॉक्सी कनेक्शन काट दिया जाता है। यह प्रतिकूल पेज को हमलावर उपयोगकर्ता के रूप में देखने सहित अनुमति देता है।

आमतौर पर, प्रत्येक नए टैब के लिए, ब्राउज़र अलग-अलग अनुमतियों और प्रमाणपत्रों के साथ एक नई प्रक्रिया बनाता है। इन अनुमतियों का उपयोग करते हुए, एक विरोधी किसी भी संसाधन पर जा सकता है इंट्रानेट जो मौजूदा अधिकारों के साथ एक ब्राउज़र के माध्यम से सुलभ है, जैसे कि शेयरपॉइंट या वेबमेल। ब्राउज़र धुरी भी दो-कारक प्रमाणीकरण सुरक्षा को समाप्त करता है।

सुरक्षा सिफारिशें : यह अनुशंसा की जाती है कि सुरक्षा वेक्टर को उपयोगकर्ता अनुमतियों को प्रतिबंधित करने, विशेषाधिकारों को बढ़ाने और यूएसी को दरकिनार करने के उद्देश्य से किया जाए। सभी ब्राउज़र सत्रों को नियमित रूप से बंद करें और जब उन्हें अब आवश्यकता न हो। मिटब का पता लगाना बेहद मुश्किल है दुश्मन ट्रैफ़िक को सामान्य उपयोगकर्ता ट्रैफ़िक के रूप में प्रच्छन्न किया जाता है, कोई नई प्रक्रिया नहीं बनाई जाती है, कोई अतिरिक्त सॉफ़्टवेयर का उपयोग नहीं किया जाता है, और हमला किए गए होस्ट का स्थानीय ड्राइव प्रभावित नहीं होता है। प्रमाणीकरण लॉग का उपयोग उपयोगकर्ता लॉगिन को विशिष्ट वेब अनुप्रयोगों के ऑडिट के लिए किया जा सकता है, हालांकि, उनके बीच दुर्भावनापूर्ण गतिविधि की पहचान करना मुश्किल हो सकता है, क्योंकि गतिविधि सामान्य उपयोगकर्ता व्यवहार के अनुरूप होगी।

स्क्रीन कैप्चर

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: जानकारी के संग्रह के दौरान, विरोधी डेस्कटॉप के स्क्रीनशॉट लेने की कोशिश कर सकते हैं। संगत कार्यक्षमता को दूरस्थ एक्सेस टूल में शामिल किया जा सकता है जो समझौता करने के बाद उपयोग किया जाता है।

मैक
OSX स्क्रीनशॉट्स को कैप्चर करने के लिए बिल्ट-इन स्क्रैंकेपट्यूर कमांड का उपयोग करता है।
लिनक्स
लिनक्स पर, एक xwd कमांड है।

सुरक्षा सिफारिशें: एक पहचान विधि के रूप में, स्क्रीनशॉट लेने के लिए एपीआई का उपयोग करने वाली प्रक्रियाओं की निगरानी करने और फिर डिस्क पर फाइलें लिखने की सिफारिश की जाती है। हालांकि, किसी विशेष प्रणाली में इस तरह के व्यवहार की वैधता के आधार पर, सिस्टम में अन्य घटनाओं के साथ एकत्रित डेटा का एक अतिरिक्त सहसंबंध दुर्भावनापूर्ण गतिविधि का पता लगाने के लिए सबसे अधिक आवश्यक है।

वीडियो कैप्चर

सिस्टम: विंडोज, मैकओएस
विवरण: एक विरोधी वीडियो या छवि को पकड़ने के लिए कंप्यूटर बाह्य उपकरणों (उदाहरण के लिए, अंतर्निहित कैमरे और वेबकैम) या एप्लिकेशन (उदाहरण के लिए, वीडियो कॉल सेवाओं) का उपयोग कर सकता है। स्क्रीन कैप्चर के तरीकों के विपरीत वीडियो कैप्चर, वीडियो को रिकॉर्ड करने के लिए उपकरणों और एप्लिकेशन का उपयोग करना शामिल है, बजाय पीड़ित स्क्रीन से छवियों को कैप्चर करने के। वीडियो फ़ाइलों के बजाय, कुछ निश्चित अंतराल पर चित्र कैप्चर किए जा सकते हैं।
दुर्भावनापूर्ण सॉफ़्टवेयर या स्क्रिप्ट का उपयोग ऑपरेटिंग सिस्टम या एप्लिकेशन द्वारा वीडियो या छवियों को कैप्चर करने के लिए दिए गए एपीआई के माध्यम से उपकरणों के साथ बातचीत करने के लिए किया जा सकता है। एकत्रित फ़ाइलों को डिस्क पर लिखा जा सकता है और बाद में फ़िल्टर किया जा सकता है।

कई अलग-अलग दुर्भावनापूर्ण प्रोग्राम मैकओएस के लिए जाने जाते हैं, उदाहरण के लिए प्रोटॉन और फ्रूटली, जो उपयोगकर्ता के वेब कैमरा से वीडियो रिकॉर्ड कर सकते हैं।

सुरक्षा युक्तियाँ: उपरोक्त तकनीक का प्रत्यक्ष विरोध मुश्किल हो सकता है क्योंकि इसके लिए विस्तृत एपीआई नियंत्रण की आवश्यकता होती है। सुरक्षा प्रयासों का उद्देश्य सिस्टम में अवांछित या अज्ञात कोड को रोकना होना चाहिए।

संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें जिनका उपयोग AppLocker और सॉफ़्टवेयर प्रतिबंध नीतियों का उपयोग करके ध्वनि रिकॉर्ड करने के लिए किया जा सकता है।

विभिन्न एपीआई के कारण दुर्भावनापूर्ण गतिविधि का पता लगाना भी मुश्किल हो सकता है। सिस्टम पर किस तरह से हमला किया जा रहा है, इसके आधार पर, एपीआई के बारे में टेलीमेट्री डेटा बेकार हो सकता है या इसके विपरीत, सिस्टम में होने वाली अन्य दुर्भावनापूर्ण गतिविधियों के लिए सामग्री प्रदान कर सकता है। दुश्मन गतिविधि का एक संकेतक उपकरणों या सॉफ़्टवेयर से जुड़े एपीआई तक पहुंचने की एक अज्ञात या असामान्य प्रक्रिया हो सकती है जो माइक्रोफोन, रिकॉर्डिंग डिवाइस, रिकॉर्डिंग प्रोग्राम या एक प्रक्रिया है जो समय-समय पर डिस्क पर फ़ाइलों को लिखती है जिसमें ऑडियो डेटा होता है।