T1685: 禁用或修改工具

摘要

攻击者可能禁用、降级或篡改安全工具或应用程序（例如：端点检测与响应（EDR）工具、入侵检测系统（IDS）、防病毒软件、日志代理、传感器等），以损害或降低防御能力的可见性。这可能包括停止特定服务、终止进程、修改或删除工具配置文件和注册表键，或阻止工具更新。这也可能包括通过破坏主机、网络和云环境中的预防、检测和响应机制来更广泛地损害防御。(Citation: SCADAfence_ransomware) 除了直接针对工具外，攻击者还可能阻止或操纵用于检测的指标和遥测。这包括恶意禁用或重定向传感器（如 Windows 事件跟踪（ETW））、修改事件日志配置（例如：重定向安全日志），或干扰日志记录管道和转发机制（例如：SIEM 摄取）。(Citation: Microsoft Lamin Sept 2017)(Citation: ETW Palantir) 更高级的技术包括利用合法驱动程序或调试机制使工具失效、绕过防篡改保护，以及针对特定防御（如 Sysmon 或云监控代理）。攻击者还可能破坏更广泛的防御操作，包括更新机制、日志记录基础设施（例如：syslog）或事件聚合，进一步削弱组织检测和响应恶意活动的能力。(Citation: Cocomazzi FIN7 Reboot)