Wie gelangen Angreifer nach einem Phishing-Klick von einem Laptop in das restliche Netzwerk?
Meist in einigen vorhersehbaren Schritten. Die schädliche Datei oder der Link verschafft ihnen einen Fernsteuerungskanal zu ihrem eigenen Server, der als regelmäßige ausgehende Verbindungen sichtbar wird. Dann sehen sie sich um: Welche Server, Freigaben und Konten gibt es, oft durch Scannen des internen Netzes oder Abfragen des Verzeichnisdienstes. Anschließend sammeln sie weitere Zugangsdaten, aus dem Speicher des Laptops, aus im Browser gespeicherten Passwörtern oder von anderen Systemen, und melden sich damit mit normalen Admin-Werkzeugen wie Remote Desktop, Remote-PowerShell oder Dateifreigaben auf weiteren Rechnern an. Von dort zielen sie auf den Domänencontroller, die Backups und die Datenspeicher. Jeder Schritt hinterlässt eine Spur im Netzwerk: neue Verbindungen zwischen internen Rechnern, die selten miteinander sprechen, Scans, Admin-Protokolle von einem gewöhnlichen Laptop und Daten, die an ungewöhnliche Orte fließen. Genau auf diese Spuren achtet Network Detection and Response (NDRNDR: Network Detection and Response. Sicherheitsüberwachung, die den Verkehr zwischen Geräten beobachtet und Alarm schlägt, wenn sich eines wie ein Angreifer verhält.), und deshalb muss ein Phishing-Klick nicht in einem vollständigen Einbruch enden.
Weiterlesen
Verwandte Fragen
Begriffe auf dieser Seite
- NDR (Network Detection and Response)
- Sicherheitsüberwachung, die den Verkehr zwischen Geräten beobachtet und Alarm schlägt, wenn sich eines wie ein Angreifer verhält.