Was unterscheidet den Basismodus unter macOS von der Paketerfassung?

Der Basismodus sieht Verbindungen, Zeitpunkte und Volumen; die Paketerfassung liest zusätzlich die unverschlüsselten Felder des TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Handshakes, die einige Funktionen brauchen. Unter macOS läuft der Agent in einem Basismodus, der die Verbindungen des Mac beobachtet, auf dem er installiert ist. Das genügt für die zentralen Erkennungen wie Beaconing, Scans, laterale Bewegung und ungewöhnliches ausgehendes Volumen. Paketerfassung bedeutet, dass der Agent die Pakete selbst kopiert, um einige Protokollfelder zu lesen, weiterhin ohne etwas zu entschlüsseln. Sie ist verfügbar, wo der Agent unter Linux läuft oder als Sensor an einem SPANSPAN: Switch Port Analyzer (Spiegelport). Eine Switch-Einstellung, die eine Kopie des Verkehrs an einen Port schickt, wo ein Sensor ihn beobachten kann.- oder TAPTAP: Test Access Point. Ein kleines Gerät, das den Verkehr auf einem Netzwerkkabel für einen Sensor kopiert.-Port. Zwei Funktionen hängen davon ab: TLS-Fingerprinting ab dem Starter-Plan, das bekannte Schadsoftware-Clients an ihrem Handshake erkennt, und das Krypto-Inventar NQCI, aktiv ab dem Pro-Plan, das quantenanfälligen und hybriden Schlüsselaustausch zeigt. Brauchen Sie eine davon, planen Sie einen Linux-Agenten oder einen Sensor am Spiegelport ein.

← Alle 20 Fragen zu NetSenX: Pläne und EinrichtungAlle Themen