ፋይል-አልባ ፋይሎችን መለየት-በማህደረ ትውስታ ውስጥ ማልዌርን ለማግኘት እና ለማቆም የተሟላ መመሪያ

በዲስክ ላይ ዱካ ሳያስቀሩ የሚሰሩ ጥቃቶች ለብዙ የደህንነት ቡድኖች ትልቅ ራስ ምታት ሆነዋል ምክንያቱም ሙሉ በሙሉ በማህደረ ትውስታ ስለሚፈጽሙ እና ህጋዊ የስርዓት ሂደቶችን ስለሚጠቀሙ። ስለዚህ የማወቅ አስፈላጊነት ፋይል-አልባ ፋይሎችን እንዴት መለየት እንደሚቻል እና እራሳቸውን ይከላከላሉ.

ከዋና ዜናዎች እና አዝማሚያዎች ባሻገር፣እንዴት እንደሚሰሩ፣ለምን በጣም አስቸጋሪ እንደሆኑ እና የትኞቹ ምልክቶች ለይተን እንድናውቅ የሚፈቅዱልን ክስተት በመያዝ እና በመጣስ መጸጸት መካከል ያለውን ልዩነት ይፈጥራል። በሚቀጥሉት መስመሮች ችግሩን ተንትነን እናቀርባለን መፍትሄዎች

ፋይል የሌለው ማልዌር ምንድን ነው እና ለምን አስፈላጊ ነው?

 

ፋይል የሌለው ማልዌር የተወሰነ ቤተሰብ አይደለም፣ ይልቁንም የአሰራር ዘዴ ነው፡- executables ወደ ዲስክ ከመጻፍ ተቆጠብ ተንኮል አዘል ኮድን ለማስፈጸም ቀድሞውኑ በስርዓቱ ውስጥ ያሉትን አገልግሎቶች እና ሁለትዮሽዎችን ይጠቀማል። አጥቂው በቀላሉ የሚቃኝ ፋይልን ከመተው ይልቅ የታመኑ መገልገያዎችን አላግባብ ይጠቀማል እና አመክንዮውን በቀጥታ ወደ RAM ይጭናል።

ይህ አካሄድ ብዙውን ጊዜ 'ከመሬት ላይ መኖር' በሚለው ፍልስፍና ውስጥ ይጠቃለላል፡ አጥቂዎች መሣሪያን ይጠቀማሉ። እንደ PowerShell፣ WMI፣ mshta፣ rundll32 ያሉ ቤተኛ መሳሪያዎች ወይም እንደ VBScript እና JScript ያሉ ሞተሮች ግባቸውን በትንሹ ጫጫታ ለማሳካት።

በጣም ከሚወክሉት ባህሪያቱ መካከል እኛ እናገኛለን- በተለዋዋጭ ማህደረ ትውስታ ውስጥ አፈፃፀም፣ በዲስክ ላይ ትንሽ ወይም ምንም ጽናት ፣ በስርዓት የተፈረሙ አካላት አጠቃቀም እና በፊርማ ላይ በተመሰረቱ ሞተሮች ላይ ከፍተኛ የመሸሸግ አቅም።

ምንም እንኳን ብዙ ተከፋይ ጭነቶች ዳግም ከተነሳ በኋላ ቢጠፉም አትታለሉ፡- ተቃዋሚዎች ጽናት ሊመሰርቱ ይችላሉ በዲስክ ላይ አጠራጣሪ ሁለትዮሾችን ሳይተዉ የ Registry ቁልፎችን ፣ የ WMI ምዝገባዎችን ወይም የታቀዱ ተግባራትን በመጠቀም።

ለምንድነው ፋይል የሌላቸውን ፋይሎች መለየት በጣም አስቸጋሪ የሆነው?

የመጀመሪያው እንቅፋት ግልጽ ነው- ለመፈተሽ ምንም ያልተለመዱ ፋይሎች የሉምበፊርማዎች እና በፋይል ትንተና ላይ የተመሰረቱ ባህላዊ የጸረ-ቫይረስ ፕሮግራሞች አፈፃፀም በትክክለኛ ሂደቶች ውስጥ ሲኖር እና ተንኮል-አዘል ሎጂክ በማህደረ ትውስታ ውስጥ ሲኖር ለማንቀሳቀስ ትንሽ ቦታ የላቸውም።

ሁለተኛው የበለጠ ስውር ነው፡ አጥቂዎቹ ከኋላ ሆነው ራሳቸውን ይኮርጃሉ። ህጋዊ የስርዓተ ክወና ሂደቶችPowerShell ወይም WMI በየቀኑ ለአስተዳደር ጥቅም ላይ የሚውሉ ከሆነ፣ ያለ አውድ እና የባህሪ ቴሌሜትሪ መደበኛ አጠቃቀምን ከተንኮል አዘል አጠቃቀም እንዴት መለየት ይችላሉ?

በተጨማሪም ወሳኝ መሳሪያዎችን በጭፍን ማገድ አይቻልም። በቦርዱ ላይ የPowerShellን ወይም የቢሮ ማክሮዎችን ማሰናከል ስራዎችን ሊሰብር ይችላል። ጥቃቶችን ሙሉ በሙሉ አይከላከልምምክንያቱም ቀላል ብሎኮችን ለማለፍ ብዙ አማራጭ የማስፈጸሚያ መንገዶች እና ቴክኒኮች አሉ።

ሁሉንም ነገር ለመሙላት፣ በዳመና ላይ የተመሰረተ ወይም በአገልጋይ በኩል ማወቂያ ችግሮችን ለመከላከል ዘግይቷል። በጉዳዩ ላይ ቅጽበታዊ የአካባቢ ታይነት ከሌለ... የትእዛዝ መስመሮች, የሂደት ግንኙነቶች እና የምዝግብ ማስታወሻ ክስተቶችወኪሉ በዲስክ ላይ ምንም ዱካ የማይተውን አደገኛ ፍሰት በበረራ ላይ ማቃለል አይችልም።

ፋይል አልባ ጥቃት ከመጀመሪያው እስከ መጨረሻ እንዴት እንደሚሰራ

የመነሻ መዳረሻ ብዙውን ጊዜ እንደ ሁልጊዜው በተመሳሳይ ቬክተር ይከሰታል። ከቢሮ ሰነዶች ጋር ማስገር ገባሪ ይዘትን ለማንቃት የሚጠይቅ፣ የተጠለፉ ጣቢያዎች አገናኞች፣ በተጋለጡ መተግበሪያዎች ውስጥ ያሉ ተጋላጭነቶችን መጠቀም፣ ወይም የወጡ ምስክርነቶችን በRDP ወይም በሌሎች አገልግሎቶች ለማግኘት አላግባብ መጠቀም።

ከገባ በኋላ ተቃዋሚው ዲስኩን ሳይነካው ለማስፈጸም ይፈልጋል። ይህንን ለማድረግ የስርዓት ተግባራትን በአንድ ላይ ያጣምራሉ- በሰነዶች ውስጥ ማክሮዎች ወይም DDE ትዕዛዞችን የሚያስጀምር፣ ለ RCE የተትረፈረፈ ፍሰትን የሚጠቀም፣ ወይም ኮድን በማህደረ ትውስታ ውስጥ መጫን እና ማስፈጸሚያ የሚፈቅዱ የታመኑ ሁለትዮሾችን የሚጠራ።

ክዋኔው ቀጣይነት ያለው ከሆነ፣ አዲስ ፈጻሚዎችን ሳይዘረጋ ጽናት ሊተገበር ይችላል፡- በመመዝገቢያ ውስጥ የጅምር ግቤቶችበተወሰኑ ሁኔታዎች ስር ስክሪፕቶችን ለሚያስነሱ የስርዓት ክስተቶች ወይም የታቀዱ ተግባራት ምላሽ የሚሰጡ የWMI ምዝገባዎች።

አፈፃፀሙ ከተመሠረተ በኋላ ዓላማው የሚከተሉትን ደረጃዎች ያዛል: ወደ ጎን መንቀሳቀስ, መረጃን ያራግፉይህ ምስክርነቶችን መስረቅን፣ RATን ማሰማራት፣ ምስጢራዊ ምንዛሬዎችን ማውጣት ወይም የራንሰምዌርን ጉዳይ የፋይል ምስጠራን ማግበርን ይጨምራል። ይህ ሁሉ የሚከናወነው በተቻለበት ጊዜ ያሉትን ተግባራት በመጠቀም ነው።

ማስረጃን ማስወገድ የእቅዱ አካል ነው፡ አጠራጣሪ ሁለትዮሽዎችን ባለመፃፍ አጥቂው የሚተነተኑትን ቅርሶች በእጅጉ ይቀንሳል። በተለመደው ክስተቶች መካከል ተግባራቸውን በማቀላቀል የስርዓቱን እና ከተቻለ ጊዜያዊ ዱካዎችን መሰረዝ.

ብዙውን ጊዜ የሚጠቀሙባቸው ዘዴዎች እና መሳሪያዎች

ካታሎጉ ሰፊ ነው፣ ነገር ግን ሁልጊዜ ማለት ይቻላል የሚያጠነጥነው በአገር በቀል መገልገያዎች እና በታመኑ መንገዶች ላይ ነው። እነዚህ በጣም ከተለመዱት መካከል ጥቂቶቹ ናቸው፣ ሁልጊዜም ከግብ ጋር የማህደረ ትውስታ አፈፃፀምን ከፍ ማድረግ እና ዱካውን ያደበዝዙ፡

• PowerShellኃይለኛ ስክሪፕት፣ የዊንዶውስ ኤፒአይዎች መዳረሻ እና አውቶማቲክ። ሁለገብነቱ ለአስተዳደር እና አፀያፊ ጥቃት ተመራጭ ያደርገዋል።
• WMI (የዊንዶውስ አስተዳደር መሣሪያ)የስርዓት ክስተቶችን እንዲጠይቁ እና ምላሽ እንዲሰጡ ይፈቅድልዎታል, እንዲሁም የርቀት እና የአካባቢ እርምጃዎችን ያከናውናሉ; ጠቃሚ ለ ጽናት እና ኦርኬስትራ.
• VBScript እና JScriptበስርዓት አካላት አማካኝነት አመክንዮ አፈፃፀምን የሚያመቻቹ ሞተሮች በብዙ አከባቢዎች ውስጥ ይገኛሉ።
• mshta፣ rundll32 እና ሌሎች የታመኑ ሁለትዮሾች: የታወቁ LoLBins በትክክል ሲገናኙ, ይችላሉ ቅርሶችን ሳይጥሉ ኮድን ያስፈጽሙ በዲስክ ላይ በግልጽ ይታያል.
• ንቁ ይዘት ያላቸው ሰነዶችበቢሮ ውስጥ ያሉ ማክሮዎች ወይም ዲዲኢኢ እና የላቁ ባህሪያት ያላቸው ፒዲኤፍ አንባቢዎች በማስታወሻ ውስጥ ትዕዛዞችን ለማስጀመር እንደ ምንጭ ሰሌዳ ሆነው ሊያገለግሉ ይችላሉ።
• የዊንዶውስ መዝገብ: የራስ-ቡት ቁልፎች ወይም በስርዓት ክፍሎች የሚነቁ የተመሰጠሩ/የተደበቀ የደመወዝ ጭነቶች ማከማቻ።
• መናድ እና ወደ ሂደቶች መርፌየሂደት ሂደቶችን የማስታወስ ቦታን ማሻሻል አስተናጋጅ ተንኮል አዘል ሎጂክ በህጋዊ አፈፃፀም ውስጥ።
• የክወና ኪት: በተጎጂው ስርዓት ውስጥ ያሉ ተጋላጭነቶችን መለየት እና ዲስኩን ሳይነኩ አፈፃፀምን ለማሳካት የተበጁ ብዝበዛዎችን ማሰማራት ።

የኩባንያዎች ፈተና (እና ለምን ሁሉንም ነገር ማገድ ብቻ በቂ አይደለም)

የዋህ አቀራረብ ከባድ መለኪያን ይጠቁማል፡ PowerShellን ማገድ፣ ማክሮዎችን መከልከል፣ እንደ rundll32 ያሉ ሁለትዮሽዎችን መከላከል። እውነታው የበለጠ የተወሳሰበ ነው፡- ከእነዚህ መሳሪያዎች ውስጥ ብዙዎቹ አስፈላጊ ናቸው. ለዕለታዊ የአይቲ ስራዎች እና ለአስተዳደር አውቶማቲክ.

በተጨማሪም አጥቂዎች ክፍተቶችን ይፈልጋሉ-የስክሪፕት ሞተሩን በሌሎች መንገዶች ማስኬድ ፣ አማራጭ ቅጂዎችን ተጠቀምበምስሎች ውስጥ አመክንዮ ማሸግ ወይም ብዙም ክትትል የማይደረግባቸው ሎቢን መጠቀም ይችላሉ። ብሩት መከልከል ሙሉ መከላከያ ሳይሰጥ በመጨረሻ ግጭት ይፈጥራል.

ከአገልጋይ ወገን ወይም ከዳመና ላይ የተመሰረተ ትንታኔም ችግሩን አይፈታውም። ያለ ሀብታም የመጨረሻ ነጥብ ቴሌሜትሪ እና ያለ በተወካዩ በራሱ ውስጥ ምላሽ ሰጪነትውሳኔው ዘግይቶ ይመጣል እና መከላከል አይቻልም ምክንያቱም የውጭ ፍርድ መጠበቅ አለብን.

ይህ በእንዲህ እንዳለ፣ የገበያ ሪፖርቶች በዚህ አካባቢ በጣም ከፍተኛ እድገት እንደሚያሳዩ ጠቁመዋል PowerShellን ያላግባብ ለመጠቀም የሚደረጉ ሙከራዎች በእጥፍ ሊጨመሩ ተቃርበዋል። በአጭር ጊዜ ውስጥ, ይህም ለተቃዋሚዎች ተደጋጋሚ እና ትርፋማ ዘዴ መሆኑን ያረጋግጣል.

ዘመናዊ ማወቂያ፡ ከፋይል ወደ ባህሪ

ዋናው ነገር ማን እንደሚያስፈጽም ሳይሆን እንዴት እና ለምን እንደሆነ ነው። መከታተል የሂደቱ ባህሪ እና ግንኙነቶቹ ወሳኙ ነው፡ የትእዛዝ መስመር፣ የሂደት ውርስ፣ ሚስጥራዊነት ያላቸው የኤፒአይ ጥሪዎች፣ ወደ ውጪ የሚሄዱ ግንኙነቶች፣ የመዝገብ ቤት ማሻሻያዎች እና WMI ክስተቶች።

ይህ አካሄድ የማምለጫውን ገጽ በእጅጉ ይቀንሳል፡ ሁለትዮሽዎቹ ቢቀየሩም የ የጥቃት ቅጦች ይደጋገማሉ (በማስታወሻ ውስጥ የሚወርዱ እና የሚፈፀሙ ስክሪፕቶች፣ LoLBinsን አላግባብ መጠቀም፣ የአስተርጓሚዎች ጥሪ፣ ወዘተ.) የፋይሉን 'ማንነት' ሳይሆን ያንን ስክሪፕት መተንተን፣ ማግኘትን ያሻሽላል።

ውጤታማ የኢዲአር/ኤክስዲአር መድረኮች ምልክቶችን በማዛመድ የተሟላውን የአደጋ ታሪክ እንደገና ለመገንባት፣ የ ስር መሰረት ይህ ትረካ 'የታየውን' ሂደት ከመውቀስ ይልቅ አባሪዎችን፣ ማክሮዎችን፣ ተርጓሚዎችን፣ ሸክሞችን እና ጽናትን በማገናኘት አጠቃላይ ፍሰቱን ለማቃለል እንጂ የተለየ ቁራጭ ብቻ አይደለም።

እንደ ማዕቀፎች አተገባበር MITER ATT&CK የተስተዋሉ ስልቶችን እና ቴክኒኮችን (TTPs) በካርታ ላይ ያግዛል እና አስጊ አደን በፍላጎት ባህሪ ላይ ይመራል፡ አፈጻጸም፣ ጽናት፣ መከላከያ መሸሽ፣ ምስክርነት ማግኘት፣ ግኝት፣ የጎን እንቅስቃሴ እና ፍልሰት።

በመጨረሻም፣ የመጨረሻው ነጥብ ምላሽ ኦርኬስትራ ወዲያውኑ መሆን አለበት፡ መሳሪያውን ያገለሉ፣ የመጨረሻ ሂደቶች በመመዝገቢያ ወይም በተግባር መርሐግብር ውስጥ የተደረጉ ለውጦችን መመለስ እና የውጭ ማረጋገጫዎችን ሳይጠብቁ አጠራጣሪ የወጪ ግንኙነቶችን ማገድ ።

ጠቃሚ ቴሌሜትሪ: ምን እንደሚታይ እና እንዴት ቅድሚያ መስጠት እንዳለበት

ስርዓቱን ሳያሟሉ የመለየት እድልን ለመጨመር ከፍተኛ ዋጋ ላላቸው ምልክቶች ቅድሚያ መስጠት ተገቢ ነው. አውድ የሚያቀርቡ አንዳንድ ምንጮች እና መቆጣጠሪያዎች። ፋይል አልባ ለማድረግ ወሳኝ እነኚህ ናቸው:

• ዝርዝር የPowerShell ምዝግብ ማስታወሻ እና ሌሎች ተርጓሚዎች፡ የስክሪፕት ብሎክ ሎግ፣ የትዕዛዝ ታሪክ፣ የተጫኑ ሞጁሎች እና AMSI ክስተቶች፣ ሲገኝ።
• WMI ማከማቻየክስተት ማጣሪያዎችን፣ ሸማቾችን እና አገናኞችን መፍጠር ወይም ማሻሻያ በተመለከተ በተለይም ሚስጥራዊነት ባላቸው የስም ቦታዎች ውስጥ ክምችት እና ማንቂያ።
• የደህንነት ክስተቶች እና Sysmonየሂደት ትስስር ፣ የምስል ትክክለኛነት ፣ የማስታወስ ጭነት ፣ መርፌ እና የታቀዱ ተግባራትን መፍጠር ።
• ቀይ፦ ያልተለመዱ የወጪ ግኑኝነቶች፣ ቢኮኒንግ፣ የመጫኛ ውርድ ንድፎችን እና ስውር ቻናሎችን ለማጥለጥ መጠቀም።

አውቶሜሽን ስንዴውን ከገለባው ለመለየት ይረዳል፡ በባህሪ ላይ የተመሰረተ የመለየት ህጎች፣ የተፈቀደ ዝርዝር ህጋዊ አስተዳደር እና በአስጊ መረጃ ማበልጸግ የውሸት አወንታዊ ውጤቶችን ይገድባል እና ምላሹን ያፋጥናል።

የወለል ንጣፍ መከላከል እና መቀነስ

ምንም አይነት መለኪያ በቂ አይደለም, ነገር ግን የተደራረበ መከላከያ አደጋን በእጅጉ ይቀንሳል. በመከላከያ በኩል, በርካታ የእርምጃ መስመሮች ተለይተው ይታወቃሉ የሰብል ቬክተሮች እና ህይወትን ለጠላት የበለጠ ከባድ ያድርጉት።

• የማክሮ አስተዳደርበነባሪነት አሰናክል እና ፍቀድ በጣም አስፈላጊ ሲሆን እና ሲፈረሙ ብቻ; በቡድን ፖሊሲዎች በኩል የጥራጥሬ መቆጣጠሪያዎች.
• የአስተርጓሚዎች እና የሎቢቢኖች ገደብ: AppLocker/WDAC ወይም ተመጣጣኝ፣ የስክሪፕቶችን እና የማስፈጸሚያ አብነቶችን ከአጠቃላይ ምዝግብ ማስታወሻ ጋር ተግብር።
• መለጠፍ እና ማቃለልሊበዘበዙ የሚችሉ ተጋላጭነቶችን ይዝጉ እና RCE እና መርፌዎችን የሚገድቡ የማስታወሻ ጥበቃዎችን ያግብሩ።
• ጠንካራ ማረጋገጫየብቃት ማጎሳቆልን ለመግታት ኤምኤፍኤ እና ዜሮ እምነት መርሆዎች የጎን እንቅስቃሴን ይቀንሱ.
• ግንዛቤ እና ማስመሰልበማስገር ላይ ተግባራዊ ስልጠና፣ ንቁ ይዘት ያላቸው ሰነዶች እና ያልተለመደ የአፈፃፀም ምልክቶች።

እነዚህ እርምጃዎች ትራፊክን እና ማህደረ ትውስታን በእውነተኛ ጊዜ ተንኮል-አዘል ባህሪን ለመለየት በሚተነተኑ መፍትሄዎች የተሟሉ ናቸው። የመከፋፈል ፖሊሲዎች እና የሆነ ነገር ሲያልፍ ተጽእኖውን የመያዝ አነስተኛ መብቶች።

እየሰሩ ያሉ አገልግሎቶች እና አቀራረቦች

ብዙ የመጨረሻ ነጥቦች እና ከፍተኛ ወሳኝነት ባላቸው አካባቢዎች፣ የሚተዳደር የማወቂያ እና ምላሽ አገልግሎቶች 24/7 ክትትል የአደጋ መከላከልን ማፋጠን አረጋግጠዋል። የኤስኦኬ፣ EMDR/MDR፣ እና EDR/XDR ጥምረት የባለሞያ አይኖች፣ የበለፀገ ቴሌሜትሪ እና የተቀናጀ ምላሽ ችሎታዎችን ይሰጣል።

በጣም ውጤታማ የሆኑት አቅራቢዎች ወደ ባህሪ የሚደረገውን ሽግግር ወደ ውስጥ አድርገውታል፡ ቀላል ክብደት ያላቸው ወኪሎች በከርነል ደረጃ ላይ ያለውን እንቅስቃሴ ያዛምዳልየተሟሉ የጥቃት ታሪኮችን መልሰው ይገነባሉ እና ተንኮል አዘል ሰንሰለቶችን ሲያገኙ ለውጦቹን ለመቀልበስ የመመለስ ችሎታ ያላቸው አውቶማቲክ ቅነሳዎችን ይተገብራሉ።

በትይዩ፣ የፍጻሜ ነጥብ ጥበቃ ስብስቦች እና የኤክስዲአር መድረኮች የተማከለ ታይነት እና የአደጋ አስተዳደርን በስራ ጣቢያዎች፣ አገልጋዮች፣ ማንነቶች፣ ኢሜል እና ደመና ላይ ያዋህዳሉ። ግቡ መፍረስ ነው። የጥቃት ሰንሰለት ምንም እንኳን ፋይሎች ተሳትፈዋል ወይም አልተሳተፉም።

ለአደጋ አደን ተግባራዊ አመልካቾች

የፍለጋ መላምቶችን ቅድሚያ መስጠት ካለብዎት ምልክቶችን በማጣመር ላይ ያተኩሩ፡ የቢሮ ሂደት ባልተለመዱ መለኪያዎች አስተርጓሚ ያስነሳል። WMI የደንበኝነት ምዝገባ መፍጠር ሰነድ ከከፈቱ በኋላ፣ የማስጀመሪያ ቁልፎች ማሻሻያዎች እና መጥፎ ስም ካላቸው ጎራዎች ጋር ግንኙነቶች።

ሌላው ውጤታማ አቀራረብ በአካባቢዎ በሚገኙ መሰረታዊ መስመሮች ላይ መታመን ነው፡ በአገልጋዮችዎ እና በስራ ቦታዎችዎ ላይ ምን የተለመደ ነው? ማንኛውም ልዩነት (አዲስ የተፈረመ ሁለትዮሾች እንደ አስተርጓሚ ወላጆች ሆነው ይታያሉ፣ በአፈፃፀም ውስጥ ድንገተኛ ነጠብጣቦች (የስክሪፕቶች፣ የትዕዛዝ ሕብረቁምፊዎች ከመደበቅ ጋር) ምርመራ ይገባዋል።

በመጨረሻም፣ ማህደረ ትውስታን አይርሱ፡ የሚሄዱ ክልሎችን የሚፈትሹ ወይም ቅጽበተ-ፎቶዎችን የሚቀርጹ መሳሪያዎች ካሉዎት፣ በ RAM ውስጥ ያሉት ግኝቶች በተለይም በፋይል ስርዓቱ ውስጥ ምንም ቅርሶች ከሌሉ የፋይል አልባ እንቅስቃሴ ትክክለኛ ማረጋገጫ ሊሆኑ ይችላሉ።

የእነዚህ ስልቶች፣ ቴክኒኮች እና ቁጥጥሮች ጥምረት ስጋቱን አያስወግደውም ነገርግን በጊዜ ለማወቅ በተሻለ ሁኔታ ላይ ያደርግዎታል። ሰንሰለቱን ይቁረጡ እና ተጽእኖውን ይቀንሱ.

ይህ ሁሉ ፍትሃዊ በሆነ መንገድ—በመጨረሻ ነጥብ የበለጸገ ቴሌሜትሪ፣ የባህሪ ትስስር፣ አውቶሜትድ ምላሽ እና የተመረጠ ማጠንከሪያ—ፋይል አልባው ዘዴ ጥቅሙን ያጣል። እና ምንም እንኳን በዝግመተ ለውጥ ቢቀጥልም, በባህሪዎች ላይ ያለው ትኩረት ከፋይሎች ይልቅ፣ መከላከያዎ ከእሱ ጋር እንዲዳብር ጠንካራ መሰረት ይሰጣል።