Wie prüfen wir einen verdächtigen Rechner, ohne den Angreifer zu warnen?
Erst beobachten, dann handeln, und zwar alles auf einmal. Ein Angreifer, der bemerkt, dass jemand hinsieht, löscht womöglich Spuren, wechselt auf einen anderen Rechner oder startet die Verschlüsselung früher. Vermeiden Sie deshalb auffällige Schritte wie das Zurücksetzen des Benutzerpassworts oder einen vollständigen Scan, bevor Sie einen Plan haben. Sammeln Sie zuerst unauffällig, was geht: die Historie der Endpunkt-Konsole, Firewall- und DNS-Logs und die Verbindungen, die der Rechner aufbaut. Legen Sie mit Ihrem Incident-Response-Dienstleister fest, welche Konten und Hosts eingedämmt werden, und tun Sie es dann gemeinsam: isolieren, Zugangsdaten von einem sauberen Gerät aus zurücksetzen und die Ziele des Angreifers im selben kurzen Zeitfenster sperren. Arbeiten Sie von einem sauberen Gerät aus und besprechen Sie den Vorfall nicht über ein möglicherweise kompromittiertes Postfach. Ein NetSenX-Sensor an einem SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.- oder TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Port beobachtet, ohne den Rechner zu berühren, und seine Alarme nennen Ziele, Zeitpunkte und Datenmengen, die ein Eindämmungsplan braucht.
Weiterlesen
Verwandte Fragen
Begriffe auf dieser Seite
- SPAN (Switch Port Analyzer (Spiegelport))
- Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.
- TAP (Test Access Point)
- Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.