Wie lange sollten wir das Netz nach einem Vorfall genau beobachten?
Mindestens mehrere Wochen, nach einem schweren Einbruch länger. Angreifer, die einen Stützpunkt behalten haben, warten oft, bis sich das Response-Team entspannt, und an andere verkaufter Zugang kann viel später genutzt werden. Prüfen Sie in dieser Zeit täglich die Alarme, suchen Sie nach Verbindungen zu den Indikatoren aus Ihrer Untersuchung, achten Sie auf neue Administratorkonten und Fernzugriffswerkzeuge und vergewissern Sie sich, dass Backups weiterlaufen und nicht von ungewöhnlichen Hosts berührt werden. Behandeln Sie jede Wiederholung des ursprünglichen Musters als neuen Vorfall, nicht als Rauschen. Legen Sie vorab fest, wer was prüft und wann die erhöhte Aufmerksamkeit endet. NetSenX erkennt Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen in jedem Plan, auch im Free-Plan, und seine Alarmhistorie, 30 Tage im Free-Plan und länger in bezahlten Plänen, erlaubt den Vergleich der Wochen nach dem Vorfall mit den Wochen davor.
Weiterlesen
Verwandte Fragen
- Was ist ein Lessons-Learned-Review nach einem Vorfall?
- Was tun wir mit einem Sicherheitsalarm in der Nacht, wenn niemand Bereitschaft hat?
- Hätten wir einen Ransomware-Angriff am Wochenende kommen sehen können?
- Wie viel Zeit vergeht zwischen dem ersten Zugang und der Verschlüsselung?
- Wie kann sich Ransomware über einen USB-Stick oder eine externe Festplatte verbreiten?