Was sieht NetSenX, nachdem jemand auf einen Phishing-Link geklickt hat?

NetSenX sieht, was das Gerät danach im Netzwerk tut, nicht die E-Mail oder den Klick selbst. Es liest keine Mailinhalte und entschlüsselt keinen Verkehr. Was es in jedem Tarif zeigen kann: ein Gerät, das regelmäßige, getaktete Verbindungen zu einem externen Server beginnt, den es nie zuvor genutzt hat (Beaconing); ein Gerät, das andere Rechner zu scannen beginnt; Verbindungen zwischen internen Hosts, die auf laterale Bewegung hindeuten; und ungewöhnliche Datenmengen, die das Netz verlassen. Wo der Agent Pakete erfasst, unter Linux oder über einen Spiegelport (SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.), zeigen Tarife ab Starter außerdem TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Fingerabdrücke, die helfen, Werkzeuge zu erkennen, die nicht zur üblichen Software des Geräts passen. Alarme nennen die MITRE-ATT&CK-Technik und enthalten ab Starter Handlungsempfehlungen. Stiehlt das Phishing nur einen Cloud-Login, den der Angreifer dann von seinem eigenen Rechner aus nutzt, berührt nichts davon Ihr Netzwerk, und die Anmeldeprotokolle Ihres Identitätsanbieters sind der Ort, an dem Sie suchen sollten.

← Alle 29 Fragen zu Phishing und die FolgenAlle Themen