¿Debemos detectar el movimiento lateral con los registros de autenticación o con los flujos de red?

Con ambos, porque cada uno ve lo que el otro no ve. Los registros de autenticación del directorio, los servidores y la VPN muestran qué cuenta inició sesión dónde, con qué método y si falló; son la mejor fuente para credenciales robadas, pero solo para sistemas que registran, conservan los registros y los envían a un sitio donde alguien los lee. Los flujos de red muestran qué equipo se conectó a cuál, en qué puerto, con qué frecuencia y cuánto, para cada dispositivo de un segmento supervisado, incluidos los que no guardan registros: impresoras, dispositivos de red, servidores no gestionados. No muestran nombres de cuenta. En la práctica, una sesión nueva entre dos equipos que nunca habían hablado es una señal de red, y la cuenta que hay detrás es una cuestión de identidad. NetSenX cubre la parte de red en todos los planes; combínelo con los registros de inicio de sesión de su directorio o con un SIEMSIEM: security information and event management. Un sistema que recoge registros de muchos sistemas y busca patrones en ellos., al que NetSenX puede exportar desde el plan Business.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas