Was passiert, wenn Angreifer unser EDR abschalten?

Der Endpunkt verstummt, und das Endpunkt-Werkzeug kann sein eigenes Schweigen nicht melden, also brauchen Sie einen zweiten Zeugen. Das Abschalten oder Deinstallieren des Endpunktschutzes ist ein häufiger früher Schritt von Eindringlingen und Ransomware-Gruppen, mit gestohlenen Administratorrechten oder über einen verwundbaren Treiber. Ab dann zeigt die Konsole die Maschine womöglich als offline an oder erhält einfach keine Ereignisse mehr. Zwei Dinge helfen. Erstens: Behandeln Sie einen stummen Agenten als Vorfall, richten Sie in der EDREDR: Endpoint Detection and Response. Sicherheitssoftware auf jedem Rechner, die beobachtet, was auf diesem Gerät passiert.-Konsole einen Alarm für Agenten ein, die sich nicht mehr melden, und prüfen Sie, wer sie deinstallieren darf. Zweitens: Beobachten Sie das Netzwerk, das der Angreifer von dieser einen Maschine aus nicht abschalten kann. NetSenX sieht das Verhalten des Hosts weiter, egal was mit seinem EDR geschieht: Beaconing, Scans, laterale Bewegung und ungewöhnliche Uploads. Den Zustand des EDR selbst sieht es nicht, es meldet also nicht, dass der Agent stoppte, sondern was die Maschine als Nächstes tut.

← Alle 40 Fragen zu NDR, EDR, SIEM, XDR, MDRAlle Themen