Warum sollte sich ein normaler Arbeitsplatzrechner nachts mit dem Domänencontroller verbinden?
Der meiste Verkehr von Arbeitsplätzen zum Domänencontroller ist harmlos: Anmeldungen, Gruppenrichtlinien, Zeitsynchronisation und Namensauflösung laufen rund um die Uhr, auch nachts. Nicht normal ist es, wenn ein Arbeitsplatzrechner eine interaktive Remote-Sitzung zum Domänencontroller öffnet, etwa Remote Desktop oder Fernverwaltung, oder dessen administrative Freigaben nutzt, besonders von einem Rechner, der jemandem außerhalb der IT gehört, und zu einer Stunde, in der niemand arbeitet. Das ist ein typischer Schritt, bevor ein Angreifer das Verzeichnis übernimmt, Konten anlegt oder Ransomware überall verteilt. Beschränken Sie administrativen Zugriff auf Domänencontroller auf wenige dedizierte Administrationsrechner. NetSenX erkennt solche neuen administrativen Sitzungen zwischen Hosts in jedem Plan als laterale Bewegung und verknüpft sie ab dem Pro-Plan mit den Scans, die oft vorausgehen.
Weiterlesen
Verwandte Fragen
- Was ist ARP-Spoofing, und wie erkennen wir es in einem kleinen Büronetz?
- Kann jemand in unserem WLAN den Verkehr anderer Benutzer mitlesen?
- Wie viel Zeit bleibt uns, wenn Ransomware Dateifreigaben zu bearbeiten beginnt?
- Können wir sehen, welches Programm auf einem Server einen großen Upload ausgelöst hat?
- Was ist ein Lieferkettenangriff?