Недетектируемых имплантов не существует — есть импланты, авторы которых измеряли, и импланты, авторы которых надеялись. Детект — движущаяся мишень, за которой стоят умные люди с ядерными драйверами, поэтому любое честное заявление прибито к трём координатам: какие движки, какой артефакт, какой день. Всё остальное — маркетинг. Именно поэтому конвейер сборки AXIS не заканчивается на компиляции; он заканчивается в лаборатории оценки, и ревизия выходит только когда лаборатория говорит «да».
Матрица: движки на дорожки
Лаборатория отслеживает поле AV/EDR как семейства движков — продукты, которые реально стоят у ваших целей: от тяжеловесов с ядерными сенсорами до статических ML-сканеров, которые вообще ничего не исполняют. Сам агент фингерпринтит шестнадцать вендоров EDR в рантайме, чтобы переключать собственное поведение; матрица — лабораторное зеркало того же списка. Каждый билд прогоняется по каждому отслеживаемому семейству в трёх дорожках, на инструментованных хостах, чью телеметрию мы потом читаем:
Статика — артефакт в покое: сканеры, статический ML, репутация. Запуск — момент доставки: AMSI, скриптовые и макро-дорожки, первые секунды жизни процесса. Поведение — окно после исполнения, в котором агент делает настоящую работу: выходит на связь, грузит модуль, открывает туннель, устанавливает закрепление, — пока сенсоры движка и облачные вердикты получают свой шанс. Затем разбор телеметрии: что хост записал, даже если ничего не сработало?
for family in tracked_engines:
for lane in [static, on_execute, behavioral]:
require no_blocking_verdict(build, family, lane)
require telemetry_review_clean()
ship(rev) # rev 0328: все дорожки, все семейства — ноль блокирующих вердиктов
Rev 0328 завершила матрицу с нулём блокирующих вердиктов — все семейства, все дорожки. Мы формулируем именно так намеренно: не недетектируемо, а измерено, прибито к координатам и фальсифицируемо. Матрица — снимок. Движки обновляются по собственному расписанию, и следующая ревизия AXIS пройдёт те же дорожки снова — потому что именно это значит слово текущая.
Когда дорожка падает
Красная ячейка — не позор, а инженерный вход. Когда семейство что-то ловит, находка утекает в маршрутный слой, который оператор уже видит: выбор сборщика между полным и минимальным семейством стейджеров существует потому, что матрица говорит, какая дверь какой охране подходит. EDR-aware гейтинг агента — шестнадцать вендоров, фингерпринт по именам служб и реестру, поведение перестраивается соответственно, — существует потому, что лаборатория ведёт живой список того, кто за какой ход наказывает. Ячейки «проверь сначала» в лицензионной матрице доставки — честный осадок этой петли: лучше пометить ячейку, чем позволить вам открыть её перед клиентом.
Тупики, сохранённые
Лаборатория, публикующая только победы, — это брошюра. В начале года мы потратили около тридцати коммитов на спайк идеи закрепления через инфраструктуру shim-баз Windows — элегантно на бумаге, мертво на практике. Спайк докопался до точных причин: allowlist на движке шимов, платформенный бит, который API регистрации никогда не выставляет так, как нам нужно, и пофайловые негативные записи, кешируемые в ядре и переживающие очистку. Мы закрыли направление как NO-GO и сохранили каждую заметку. Эта папка — причина, по которой вышедшее закрепление — персональный метаморфный стаб Ghost-Svchost, Ghost-Path — стоит на механизмах, которые мы можем защитить построчно, и причина, по которой следующая идея измеряется против провалившейся, а не против фантазии.
Лаборатория — не единственный свидетель. Полевые проверки на инструментованных хостах «как у клиента» замыкают петлю — последний раз: установка закрепления, которая зарегистрировалась, стартовала и вышла на связь как SYSTEM на машине с SentinelOne и Defender одновременно, — оба движка молчали. Одна проверка доказывает немного; метод, который продолжает производить такие проверки, — и есть продукт.
Угол защитника
Ноль вердиктов — это измерение, а не фокус.
Читайте наш результат так, как читаем мы: прибитый снимок по названным дорожкам, а не мантия-невидимка. Швы там, где всегда. Полиморфность на билд делает хеш-разведку мгновенно гниющей — инвестируйте в поведение, а не в IOC-ленты. Громкий момент — доставка: скриптовые и AMSI-дорожки, макроконтент, первые секунды неизвестного процесса. Закрепление с уникальными на каждую установку артефактами ломает охоту по именам, но не по механизмам — смотрите на механизмы, а не на имена файлов. И вендор, публикующий свой метод оценки, отдаёт вам свои режимы отказа вместе с заявлениями; мы публикуем метод, потому что заявления стоят ровно столько, сколько стоит метод. Измеряйте швы — мы предпочитаем быть пойманными хорошим правилом, чем услышанными из-за плохого прилагательного.
Следующая заметка: Что выносит приговор инжектору? — контролируемая серия приманок против SentinelOne + Defender, где метод лаборатории применён к фольклору инъекций: шесть паттернов, два контроля и приговор, переворачивающий фольклор.