后门

后门为已被入侵的主机、网络设备或应用提供隐蔽且持久的访问通道,通常绕过日志、认证和策略控制。它可能由外部攻击者植入(Web Shell、恶意服务、计划任务)、由内部人员预设、隐藏在软件供应链中,或者作为厂商未公开账号存在。后门可用于执行命令、外泄数据,并在被清除后再度进入。检测需要关联端点与网络遥测、检查代码签名、审计配置、开展威胁狩猎以及供应链证明。缓解措施包括最小权限、定期轮换凭据和密钥、异常检测与不可篡改的审计日志。