Servis Kurulumu ve Persistence
Windows servisleri, sistem başlangıcında otomatik olarak çalışır. Saldırganlar bu mekanizmayı kullanarak zararlı yazılımlarını kalıcı hale getirir. MITRE ATT&CK'ta "Create or Modify System Process: Windows Service" (T1543.003) olarak sınıflandırılır.
Şüpheli Servis Göstergeleri
Şüpheli servis kurulumlarının tipik özellikleri: rastgele veya anlamsız servis adları, C:\Users\ veya C:\Temp\ gibi geçici klasörlerden çalışan servisler, cmd.exe /c veya powershell.exe ile başlayan ImagePath değerleri, LocalSystem hesabıyla çalışan bilinmeyen servisler.
ACKLOG ile İzleme
ACKLOG, organizasyondaki meşru yazılım servislerini beyaz listeye alır ve yeni kurulan her servisi bu listeyle karşılaştırır. Listede olmayan bir servis kurulduğunda, dosya yolu ve çalıştırma parametreleri analiz edilerek risk seviyesi belirlenir.