T1578.001: 创建快照

摘要

攻击者可能在云账户内创建快照或数据备份以逃避防御。快照是现有云计算组件（例如虚拟机（VM）、虚拟硬盘或卷）的时间点副本。攻击者可能利用权限创建快照，以绕过阻止访问现有计算服务基础设施的限制，这与[还原云实例](https://attack.mitre.org/techniques/T1578/004)不同，在后一情况中攻击者可能还原到快照以逃避检测并移除其存在的证据。 攻击者可能[创建云实例](https://attack.mitre.org/techniques/T1578/002)，将一个或多个创建的快照挂载到该实例，然后应用允许攻击者访问所创建实例的策略，例如允许其入站和出站 SSH 访问的防火墙策略。(Citation: Mandiant M-Trends 2020)