T1542.004 ROMMONkit
Unter-TechnikEnterpriseAdversaries may abuse the ROM Monitor (ROMMON) by loading an unauthorized firmware with adversary code to provide persistent access and manipulate device behavior that is difficult to detect. ROMMON is a Cisco network device firmware that functions as a boot loader, boot image, or boot helper to initialize hardware and software when the platform is powered on or reset. Similar to TFTP Boot, an adversary may upgrade the ROMMON image locally or remotely (for example, through TFTP) with adversary code and restart the device in order to overwrite the existing ROMMON image. This provides adversaries with the means to update the ROMMON to gain persistence on a system in a way that may be difficult to detect.
Plattformen
Plattformen, für die dies gilt.
Taktiken
ATT&CK-Taktiken, denen diese Technik dient.
Unter-Technik von
Die übergeordnete Entität.
Gegenmaßnahmen
ATT&CK-Gegenmaßnahmen, die dies verringern.
Erkannt durch (3)
Datenkomponenten, die dies erkennen.
Abgewehrt durch (D3FEND)
D3FEND-Gegenmaßnahmen dagegen.
Model
Detect
NIST CSF 2.0 — Relevanzbereiche (Protect / Detect)
NIST-CSF-2.0-Bereiche mit dem größten Bezug (belegbasiert).
- PR.PSPlatform Securitystark · gestützt durch 11 von 19 zugeordneten Controls
- ID.RARisk Assessmentmoderat · gestützt durch 8 von 19 zugeordneten Controls
- DE.CMContinuous Monitoringmoderat · gestützt durch 7 von 19 zugeordneten Controls
Abgeleitet aus MITRE CTID (Apache-2.0) und dem NIST-800-53-↔-CSF-Crosswalk (gemeinfrei). Eine indikative Relevanz entlang der Protect-/Detect-Achse — keine Compliance-Bewertung und keine Abdeckungsaussage.
Mindernde Maßnahmen (19)
Sicherheitskontrollen, die dies mindern.
Quelle
Wo diese Definition veröffentlicht ist.