La revisione dei comandi è il processo di modifica delle istruzioni durante un’intrusione affinché funzionino come previsto, evitino errori o si adattino a nuove condizioni. Un operatore potrebbe modificare un comando dopo un errore, cambiarne i parametri o perfezionare uno script per adattarlo all’ambiente bersaglio.
La revisione è importante perché può aiutare un aggressore a mantenere in corso un’operazione e rendere più difficile interpretare l’attività. I comandi possono essere modificati manualmente o con l’assistenza di strumenti automatizzati, compreso un modello linguistico; la prova di tale assistenza non dimostra, di per sé, che l’attacco sia stato completamente automatizzato. I difensori possono cercare attività insolite sulla riga di comando, tentativi ripetuti con piccole modifiche e modifiche successive a errori o cambiamenti nelle condizioni del sistema. L’esame di questa attività può aiutare a ricostruire un’intrusione, anche se le sole modifiche ai comandi non dimostrano chi le abbia apportate né quali strumenti siano stati utilizzati.