Wie unterscheiden wir einen Netzangriff von einem großen Update oder Backup?
Mit den Fragen wer, wohin und wann, und dem Vergleich mit dem Normalzustand. Ein Backup bewegt Daten von bekannten Hosts zu einem bekannten Ziel, meist zu einer festen Zeit und jede Nacht in ähnlicher Menge. Ein Update lädt in einem kurzen Schub von den Servern des Herstellers auf viele Hosts herunter. Diebstahl sieht anders aus: Ein Host, der selten hochlädt, sendet viel, an ein Ziel, das sonst niemand nutzt, zu einer Stunde, in der er normalerweise ruhig ist, oder ein Arbeitsplatzrechner liest plötzlich viele Dateifreigaben. Führen Sie eine kurze Liste Ihrer geplanten Jobs mit Hosts und Uhrzeiten, damit jeder einen Alarm damit abgleichen kann. NetSenX misst jeden Host an seinen eigenen üblichen Zielen, Datenmengen und Tageszeiten, erklärt bei jedem Alarm, welche Netzmerkmale ihn ausgelöst haben, und lässt Sie einen Alarm als Fehlalarm markieren, wobei die Entscheidung im Audit-Log festgehalten wird.
Weiterlesen
Verwandte Fragen
- Woher wissen wir, wie der Normalzustand in unserem Netz aussieht?
- Was ist ein Indicator of Compromise (IOC)?
- Unser Virenschutz zeigt überall Grün. Können wir trotzdem kompromittiert sein?
- Ein Administratorkonto ist aufgetaucht, an dessen Anlage sich niemand erinnert. Was nun?
- Ein Server sendet nachts Daten nach außen. Was sollten wir prüfen?