本文解释了Cato Cloud安全堆栈中的入侵防御系统（IPS）如何保护您的网络免受使用Cobalt Strike的恶意软件攻击。
概况
Cobalt Strike 是一种知名的对手模拟工具，被威胁行为者和安全性专业人士用于各种目的。 在本文中，我们概述了 Cato Cloud 采用的技术，以保护免受基于恶意使用 Cobalt Strike 攻击的威胁。
防范Cobalt Strike攻击的保护技术
本部分描述了入侵防御系统（IPS）用来识别和防御Cobalt Strike攻击的技术。
PowerShell检测和阻止
Cobalt Strike经常利用PowerShell将恶意软件下载到系统上。 为此，入侵防御系统（IPS）引擎被配置为阻止与Cobalt Strike相关的任何可疑PowerShell活动，从而防止恶意负载的引入。
识别和阻止唯一的HTTP标识符
Cobalt Strike使用独特的HTTP标识符与其命令与控制（C2）服务器进行通信。 Cato的入侵防御系统（IPS）识别并阻止这些独特标识符，使命令与控制（C2）通信无效，从而保护您的网络免受潜在威胁。
权限提升预防
Cobalt Strike提供权限提升选项，攻击者可以利用这一点。 为降低此风险，入侵防御系统（IPS）积极阻止命令与控制（C2）服务器在目标系统上执行权限提升的任何尝试，从而防止未经授权访问更高级别的权限。
后利用命令阻止
Cobalt Strike依赖预定义的后利用命令来控制被破坏的系统。 入侵防御系统（IPS）检测并阻止由命令与控制（C2）服务器发出的这些命令的执行，确保任何试图操纵受损主机的行为都被挫败。
横向移动检测与预防
Cobalt Strike在网络内采用多种技术和工具进行横向移动，包括PSexec、SSH、SMB和WinRM。 为反击这些策略，入侵防御系统（IPS）联合可疑活动监控 (SAM) 能够高效地检测和阻止这些协议和技术。 这可以防止威胁在您的网络内横向传播。
可变命令与控制（C2）配置文件检测
Cobalt Strike经常使用可变命令与控制（C2）配置文件模仿流行服务，如Gmail、Bing和Pandora，以尝试逃避检测。 为反击这种复杂的规避技术，入侵防御系统（IPS）采用专门设计的检测方法来识别并阻止Cobalt Strike对可变命令与控制（C2）配置文件的使用。 这一主动措施确保即使是试图将恶意流量伪装为良性服务的尝试也能被有效拦截，从而增强网络的安全性。
识别和阻止用来随机生成可变命令与控制（C2）配置文件的工具
为了进一步增加检测难度，有可用的工具可以随机生成可变命令与控制（C2）配置文件中的标识符，使它们更难被发现。 入侵防御系统（IPS）能够识别这些工具的标识符并主动阻止它们。