Was ist Command and Control (C2) als ATT&CK-Taktik?
Command and Control ist die Taktik, mit der Angreifer mit den kompromittierten Systemen sprechen: Befehle senden, Ergebnisse empfangen und weitere Werkzeuge nachladen. Zu den Techniken gehören regelmäßige Meldungen über Webprotokolle, verschlüsselte Kanäle, legitime Cloud-Dienste oder Messaging-Plattformen als Relais, Tunnel durch DNS oder andere Protokolle, Nicht-Standard-Ports und Proxys, die den eigentlichen Server verbergen. Weil der Kanal existieren muss, damit der Angreifer handeln kann, gehört er zu dem, was sich am zuverlässigsten erkennen lässt, auch wenn der Inhalt verschlüsselt ist: Zeitverlauf, Ziel und Rhythmus verraten ihn. Bekannte schädliche Ziele zu blockieren hilft, erfasst aber keine neuen. NetSenX erkennt Beaconing in jedem Plan sowie DNS-Tunneling und vergleicht ab dem Starter-Plan TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Handshakes mit Fingerabdrücken bekannter Schadsoftware, wo der Agent Pakete mitschneidet, unter Linux oder als SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann./TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Sensor.
Weiterlesen
Verwandte Fragen
- Was ist die Taktik Impact in MITRE ATT&CK?
- Was ist die Cyber Kill Chain, und wie hängt sie mit MITRE ATT&CK zusammen?
- Wie kann ein kleines Team MITRE ATT&CK nutzen, um Lücken in seiner Erkennung zu finden?
- Was passiert, nachdem ein Angreifer ins Netz gelangt ist?
- Kann Virenschutz oder EDR allein laterale Bewegung erkennen?
Begriffe auf dieser Seite
- TLS (Transport Layer Security)
- Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.
- SPAN (Switch Port Analyzer (Spiegelport))
- Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.
- TAP (Test Access Point)
- Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.