Was ist graphbasierte Erkennung lateraler Bewegung?
Graphbasierte Erkennung behandelt Ihr Netz als Karte, wer mit wem spricht: Jeder Host ist ein Punkt, jede Verbindung eine Linie, und die Karte wird über die Zeit mit ihrer üblichen Form verglichen. Laterale Bewegung zeigt sich als neue Linien, die nicht passen, etwa ein Arbeitsplatzrechner, der plötzlich mit mehreren Servern verbunden ist, eine Kette von Sprüngen von einem Rechner zum nächsten oder eine Gruppe von Hosts, die alle dieselbe neue externe Adresse erreichen. Der Vorteil ist der Kontext: Eine einzelne neue Verbindung kann harmlos sein, ein neuer Pfad vom Laptop eines Benutzers über einen Dateiserver zum Backup-Server dagegen nicht. Der Ansatz wird seit Jahren in der Forschung untersucht. Ab dem Pro-Plan korreliert NetSenX Hosts in einem solchen Graphen, sodass ein Scan mit anschließenden neuen Remote-Sitzungen oder mehrere Hosts mit Beaconing zu einem Ziel als eine Geschichte erscheinen statt als verstreute Alarme.
Weiterlesen
Verwandte Fragen
- Übersehen regelbasierte Sicherheitswerkzeuge neue Angriffswege?
- Warum sollte ein Drucker unser Netz scannen, und können Drucker andere Rechner angreifen?
- Wie stoppen wir einen Angreifer, der schon in unserem Netz ist?
- Wie schnell bewegen sich Angreifer, wenn sie einmal drin sind?
- Woran erkennen wir, ob der Rechner für das Online-Banking infiziert ist?