T1547.008: LSASS 驱动程序

摘要

攻击者可能修改或添加 LSASS 驱动程序以在受感染系统上获得持久化。Windows 安全子系统是一组管理并强制执行计算机或域安全策略的组件。本地安全机构（LSA）是负责本地安全策略和用户身份验证的主要组件。LSA 包含多个与各种其他安全功能关联的动态链接库（DLL），所有这些都在 LSA 子系统服务（LSASS）lsass.exe 进程的上下文中运行。(Citation: Microsoft Security Subsystem) 攻击者可能以 LSASS 驱动程序为目标以获得持久化。通过替换或添加非法驱动程序（例如[劫持执行流](https://attack.mitre.org/techniques/T1574)），攻击者可以使用 LSA 操作来持续执行恶意载荷。