T1578.004: 还原云实例

摘要

攻击者可能在执行恶意活动后还原对云实例所做的更改，以试图逃避检测并移除其存在的证据。在高度虚拟化的环境（例如基于云的基础设施）中，这可以通过云管理仪表板或云 API 还原虚拟机（VM）或数据存储快照来实现。 此技术的另一种变体是利用附加到计算实例的临时存储。大多数云提供商提供各种类型的存储，包括持久性、本地和/或临时存储，其中临时类型通常在 VM 停止/重启时重置。(Citation: Tech Republic - Restore AWS Snapshots)(Citation: Google - Restore Cloud Snapshot)