Sollten wir laterale Bewegung über Authentifizierungs-Logs oder über Netzflüsse erkennen?

Über beides, denn jede Quelle sieht, was der anderen entgeht. Authentifizierungs-Logs aus Verzeichnis, Servern und VPN zeigen, welches Konto sich wo mit welcher Methode angemeldet hat und ob es fehlschlug; sie sind die beste Quelle für gestohlene Zugangsdaten, aber nur für Systeme, die protokollieren, die Logs aufbewahren und dorthin schicken, wo jemand sie liest. Netzflüsse zeigen, welcher Host sich mit welchem verbunden hat, auf welchem Port, wie oft und wie viel, für jedes Gerät in einem überwachten Segment, auch für jene, die keine Logs führen: Drucker, Appliances, unverwaltete Server. Kontonamen zeigen sie nicht. In der Praxis ist eine neue Sitzung zwischen zwei Hosts, die nie miteinander gesprochen haben, ein Netzsignal, und das Konto dahinter eine Identitätsfrage. NetSenX deckt die Netzseite in jedem Plan ab; kombinieren Sie es mit den Anmelde-Logs Ihres Verzeichnisses oder einem SIEMSIEM: Security Information and Event Management. Ein System, das Logs aus vielen Systemen sammelt und darin nach Mustern sucht., in das NetSenX ab dem Business-Plan exportieren kann.

← Alle 69 Fragen zu Angriffstechniken erklärtAlle Themen