Warum sehen Update-Agenten und Überwachungswerkzeuge wie Beaconing aus?
Weil sie sich gleich verhalten: Sie kontaktieren in regelmäßigen Abständen, Tag und Nacht, einen Server, um nach Updates zu fragen, ihren Status zu melden oder Konfiguration zu holen. Backup-Agenten, Virenschutz, Fernwartungswerkzeuge, Zeitsynchronisation und viele Geschäftsanwendungen tun das. Deshalb erzeugen einfache Regeln, die nur auf regelmäßige Zeitabstände schauen, viel Rauschen. Was Schadsoftware unterscheidet, ist der Kontext: ein Ziel, das sonst niemand im Unternehmen nutzt, eine kürzlich registrierte Domain oder ein gemieteter Server, ein Gerät ohne Grund für solche Software, ein Rhythmus, der an einem bestimmten Tag begonnen hat, oder Verkehr, der nicht zu dem Programm passt, das der Host ausführen soll. NetSenX beurteilt Beaconing anhand der eigenen Geschichte jedes Hosts und seines Ziels, erklärt jeden Alarm und lässt Sie bekannte Software als Fehlalarm markieren, wobei die Entscheidung im Audit-Log festgehalten wird.
Weiterlesen
Verwandte Fragen
- Was ist DNS-Tunneling?
- Können Daten über DNS gestohlen werden, ohne dass es jemand merkt?
- Kann sich Schadsoftware in DNS over HTTPS verstecken, und sehen wir sie dann noch?
- Was ist langsame Datenexfiltration (Low and Slow), und wie wird sie erkannt?
- Warum übersehen einfache Bandbreitenalarme Datendiebstahl?