如何检测无文件恶意软件攻击？

Malwarebytes报告称最近无文件恶意软件攻击飙升，并建议企业监控进程内存以抵御这些威胁。那么，监控进程内存如何阻止无文件攻击以及企业的做法是什么？

对于保护端点，最重要的是在端点部署可作为安全监控器的东西，这是指执行授权访问策略的系统组件，在美国国防部“橙皮书”中被称为参考监控器。

端点安全监控器独立于操作系统，并跟踪可能影响端点的任何不安全配置或恶意活动。Windows防病毒软件用于监控大多数端点；该软件旨在保护用户免受各种威胁，包括恶意软件、广告软件、特洛伊木马和基于文件的攻击。

[[260441]]

企业在评估无文件恶意软件攻击时，端点系统内存监控是应该考虑的安全工具，尽管它会产生大量数据。

通过监控内存，安全监控器可确定在系统上执行了哪些命令，包括检测使用PowerShell的无文件恶意软件攻击。我们可监控内存以寻找正在系统上执行的某个操作–不管开始执行恶意代码的程序是什么，以识别潜在有害的操作，例如程序或脚本被配置为在登录时执行或在端点更改与持续性相关的其他方面。例如，如果Microsoft Word宏在执行复杂PowerShell下载程序作为攻击的一个阶段，我们可通过监控内存以检测与Microsoft Word宏相关的活动。

同样，系统内存监控可能产生大量数据。但企业可以使用策略（包括行为规则或签名）来标记动作序列或尝试访问可能是恶意的内存。此时，该系统可以为分析师生成警报以进行调查。

最终，恶意软件开发人员将找到方法来克服这种防御，部分是通过改变用于访问内存的API来避免检测，就像他们试图操纵磁盘访问API一样。这样的话，端点安全供应商将需要改进其防篡改保护措施，以防止这些攻击禁用或绕过防病毒工具。

近日Malwarebytes实验室发布的报告主要在研究这些无文件恶意软件攻击的演变。该实验室建议，端点安全工具应包括监视内存的功能，以及诊断基于PowerShell攻击的功能。如果你的端点安全工具无法抵御这些类型的攻击，请确定供应商何时计划添加这些功能或转移到新产品。