禁用安全工具

攻击者禁用安全工具，以避免他们的工具和活动被检测到。可以采取以下形式：终止安全软件或事件日志记录流程、删除注册表项以便工具不会在运行时启动，或者使用其他方法干扰安全扫描或事件报告。

缓解

确保具有适当的进程、注册表和文件权限，以防止攻击者禁用或干扰安全服务。

检测

监视进程和命令行参数，以查看安全工具是否被杀死或停止运行。
监视注册表编辑以修改与安全工具对应的服务和启动程序。
缺少日志或事件文件报告可能是可疑的。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn