Was ist ein Indicator of Compromise (IOC)?
Ein Indicator of Compromise ist ein Beweisstück, das auf einen Angriff auf ein System hindeutet: eine IP-Adresse oder Domain, die bekanntermaßen von Angreifern genutzt wird, der Hash einer schädlichen Datei, ein verdächtiger Dateiname, der TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Fingerabdruck eines bekannten Schadsoftware-Clients oder eine Konfigurationsänderung, die eine Schadsoftware vornimmt. Warnungen von CISA, nationalen CERTs und Sicherheitsforschenden veröffentlichen sie, damit andere ihre eigenen Logs durchsuchen können. Sie sind nützlich und kurzlebig: Angreifer wechseln Server und kompilieren ihre Werkzeuge neu, sodass eine Adresse, die letzten Monat schädlich war, heute jemand Unbeteiligtem gehören kann. Deshalb ergänzen Indikatoren den Blick auf Verhalten, statt ihn zu ersetzen. Durchsuchen Sie Firewall-, Proxy- und DNS-Logs nach den Indikatoren jeder Warnung, die Sie betrifft. Ab dem Starter-Plan vergleicht NetSenX TLS-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann./TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Sensor, und Verhalten wie Beaconing erkennt es in jedem Plan.
Weiterlesen
Verwandte Fragen
- Unser Virenschutz zeigt überall Grün. Können wir trotzdem kompromittiert sein?
- Ein Administratorkonto ist aufgetaucht, an dessen Anlage sich niemand erinnert. Was nun?
- Ein Server sendet nachts Daten nach außen. Was sollten wir prüfen?
- Unsere öffentliche IP-Adresse steht auf einer Blockliste. Heißt das, wir wurden gehackt?
- Eine Kollegin sagt, die Maus habe sich von selbst bewegt. Steuert jemand den Rechner?
Begriffe auf dieser Seite
- TLS (Transport Layer Security)
- Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.
- SPAN (Switch Port Analyzer (Spiegelport))
- Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.
- TAP (Test Access Point)
- Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.