ATT&CK-CN V1.01 Last Update: 2019-11 [返回索引页]
译者: 林妙倩、戴亦仑 原创翻译作品，如果需要转载请取得翻译作者同意。
数据来源：ATT&CK Matrices
原文: https://attack.mitre.org/techniques/T1116
术语表: /attack/glossary
代码签名
代码签名为来自开发人员的二进制文件提供了一定程度的真实性，并保证该文件没有被篡改。 然而，已知攻击者会使用代码签名证书来将恶意软件和工具伪装成合法的二进制文件 。 操作中使用的证书可能是由攻击者创建、伪造或窃取的。
可在现代 Windows 和 macOS/OS X 系统上使用代码签名，在软件首次运行时进行验证。 由于该技术的去中心化特性，它没有在 Linux 上使用。
代码签名证书可用于绕过需要签名代码才能在系统上执行的安全策略。
缓解
使用进程白名单和受信任的发布者来验证软件的真实性，有助于拦截签名的恶意代码或不受信任的代码在系统上执行。
检测
收集和分析在环境中执行的软件的签名证书元数据，以查找异常的证书特征和异常值。