Le webshells saranno per sempre una sfida per le organizzazioni?

Webshells è un payload di attacco, non una vulnerabilità. Se non si dispone di una vulnerabilità che consenta all'utente malintenzionato di installare una webshell in primo luogo, non è necessario preoccuparsi delle webshell.

I rilevatori di Webshell possono essere utili per catturare un attacco che già accade. Ma se l'utente malintenzionato riesce già a installare una webshell, l'autore dell'attacco è già troppo in profondità perché tu possa fidarti della macchina.

Un altro uso di webshell è per sysadmin che utilizza un webshell per amministrare le proprie macchine, queste shell devono essere eseguite su HTTPS e devono essere autenticate per prevenire gli abusi da parte degli aggressori. Se un utente malintenzionato riesce a entrare in una di queste webshell installate legittimamente, allora si tratta di una vulnerabilità nel meccanismo di autenticazione che circonda il webshell, non a causa dello stesso webshell.

Non dovresti aver bisogno dell'anomalia anticipata o del rilevamento delle firme per rilevare la presenza di codice non autorizzato sui tuoi server. In genere, il webroot deve essere statico dopo la distribuzione, il che significa che è possibile generare un HMAC basato su tutto il contenuto del webroot.

Se sai di non aver modificato alcun file sul tuo webroot e di averlo riconosciuto con lo stesso segreto e ottenuto un hash diverso, allora sai che qualcosa è stato modificato.