Woran erkennen wir, dass jemand in unserem internen Netz Passwörter rät?

Sehen Sie an zwei Stellen nach: in den Logs des Ziels und im Muster im Netz. Die Logs des Ziels, auf einem Dateiserver, einem Remote-Desktop-Host, einem SSH-Server oder dem Domänencontroller, zeigen die fehlgeschlagenen Anmeldungen selbst und die versuchten Kontonamen; viele Fehlschläge über viele Konten von einer Quelle sind Password Spraying, viele für ein Konto sind Brute Force. Das Netz zeigt die Quelle: einen Host, der wiederholt kurze Verbindungen zu einem Anmeldedienst aufbaut, oft auf mehreren Servern. Brute Force auf Remote Desktop oder SSH innerhalb des LAN ist nicht normal; er bedeutet einen kompromittierten Rechner oder einen nicht genehmigten Test. Sperren oder bremsen Sie wiederholte Fehlschläge, verlangen Sie Multi-Faktor-Authentifizierung (MFA), wo möglich, und untersuchen Sie den Quellhost. NetSenX sieht die wiederholten Verbindungen zwischen Hosts in überwachten Segmenten und erkennt Scans und laterale Bewegung, die typischerweise dazugehören; die Zahl der fehlgeschlagenen Anmeldungen steht im Log des Servers.

← Alle 69 Fragen zu Angriffstechniken erklärtAlle Themen