T1070: 清除痕迹

摘要

攻击者可能选择性地删除或修改生成的痕迹，以减少其存在的迹象并与合法活动融为一体。攻击者可能不是广泛地删除证据，而是针对看似异常或可能引起审查的特定痕迹，同时保留足够的数据完整以维持正常系统行为的外观。 诸如命令历史记录、日志条目或文件元数据之类的痕迹可能以符合预期用户或系统活动的方式被更改。痕迹的位置、格式和类型(例如命令或登录历史记录)通常是平台特定的，使攻击者能够定制修改以最大程度地减少怀疑。 这些操作可能无法完全阻止检测，但可以通过使事件看起来良性或与常规操作一致来延迟对恶意活动的识别或降低告警的保真度。此外，被选择性删除或修改的痕迹仍可能通过更深入的取证分析恢复，尽管它们的缺失或更改会使时间线重建和归因变得复杂。