Was ist Sammlung (Collection) in MITRE ATT&CK?
Collection ist das Zusammentragen der gewünschten Daten, bevor der Angreifer sie hinausbringt: Dateien von Freigaben an einen Ort kopieren, sie in Archive packen, Postfächer lesen, eine Datenbank exportieren, Bildschirmfotos machen. Oft zeigt sich das als ein Host, der plötzlich weit mehr von Dateiservern oder Datenbanken liest als je zuvor, manchmal nachts, gefolgt von einer Pause, in der die Archive entstehen. Audit-Logs von Dateien und Datenbanken zeigen, was gelesen wurde, und Endpunktwerkzeuge sehen das Anlegen der Archive. Im Netz sieht das Sammeln wie neue Sitzungen dieses Hosts zu vielen Dateiservern aus und der nächste Schritt, die Exfiltration, wie ungewöhnliche ausgehende Mengen von ihm. Begrenzen Sie, wer was lesen darf, besonders Dienstkonten mit breitem Dateizugriff. NetSenX erkennt neue Sitzungen zwischen Hosts und ungewöhnliche ausgehende Datenmengen pro Host in jedem Plan; welche Dateien in verschlüsselten Sitzungen gelesen wurden, sieht es nicht.
Weiterlesen
Verwandte Fragen
- Was ist Command and Control (C2) als ATT&CK-Taktik?
- Was ist die Taktik Impact in MITRE ATT&CK?
- Was ist die Cyber Kill Chain, und wie hängt sie mit MITRE ATT&CK zusammen?
- Wie kann ein kleines Team MITRE ATT&CK nutzen, um Lücken in seiner Erkennung zu finden?
- Was passiert, nachdem ein Angreifer ins Netz gelangt ist?