Was ist die Taktik Impact in MITRE ATT&CK?
Impact ist das sichtbar gewordene Endziel des Angreifers: Daten für Lösegeld verschlüsseln, Systeme löschen, Dienste stoppen, Backups beschädigen, Websites verunstalten oder Daten und industrielle Prozesse manipulieren. In ATT&CK gehört auch das Verhindern der Wiederherstellung dazu, etwa das Löschen von Schattenkopien und Backup-Katalogen. In dieser Phase ist Eindämmung dringend, und Beweise sind gefährdet. Vorbeugung liegt früher: Offline-Backups, die der Angreifer nicht erreicht, Trennung von IT und Produktion und Alarme bei den vorangehenden Schritten. Die Verschlüsselung selbst geschieht auf Hosts; trifft sie Netzfreigaben, liest und überschreibt ein Client in kurzer Zeit große Datenmengen. NetSenX hat keine eigene Erkennung für den Verschlüsselungsschritt und stoppt ihn nicht; es beobachtet die Phasen davor, etwa Beaconing, Scans, laterale Bewegung und ungewöhnliche ausgehende Mengen, in jedem Plan.
Weiterlesen
Verwandte Fragen
- Was ist die Cyber Kill Chain, und wie hängt sie mit MITRE ATT&CK zusammen?
- Wie kann ein kleines Team MITRE ATT&CK nutzen, um Lücken in seiner Erkennung zu finden?
- Was passiert, nachdem ein Angreifer ins Netz gelangt ist?
- Kann Virenschutz oder EDR allein laterale Bewegung erkennen?
- Warum ist ein flaches Netz gefährlich?