T1543: Create or Modify System Process
Create or Modify System Process (T1543) é uma técnica catalogada no MITRE ATT&CK Enterprise usada como referência para mapear comportamento adversário em auditorias de segurança.
Contexto para AppSec
Em uma auditoria de AppSec, Create or Modify System Process deve ser usada para revisar caminhos em que código, configuração, dependências ou infraestrutura podem viabilizar o comportamento descrito pela MITRE. No ATT&CK, ela aparece em Persistence e Privilege Escalation. As plataformas mapeadas pela MITRE incluem Containers, Linux, macOS e Windows. No Vigly, esse contexto ajuda a conectar evidências do repositório com priorização e remediação.
Descrição oficial original do MITRE ATT&CK
Adversaries may create or modify system-level processes to repeatedly execute malicious payloads as part of persistence. When operating systems boot up, they can start processes that perform background system functions. On Windows and Linux, these system processes are referred to as services. On macOS, launchd processes known as Launch Daemon and Launch Agent are run to finish system initialization and load user specific parameters. Adversaries may install new services, daemons, or agents that can be configured to execute at startup or a repeatable interval in order to establish persistence. Similarly, adversaries may modify existing services, daemons, or agents to achieve the same effect. Services, daemons, or agents may be created with administrator privileges but executed under root/SYSTEM privileges. Adversaries may leverage this functionality to create or modify system processes in order to escalate privileges.
Como o Vigly audita a técnica Create or Modify System Process automaticamente na sua pipeline
O Vigly cruza sinais de SAST, modelagem de ameaças, regras de negócio e evidências do repositório para priorizar riscos reais antes que eles cheguem à produção.
Conhecer a plataforma