¿Pueden los atacantes moverse por nuestra red con contraseñas robadas y sin malware?
Sí, y es habitual. Con credenciales válidas, un atacante puede iniciar sesión en el escritorio remoto, la VPN, SSH, las carpetas compartidas y los servicios en la nube como cualquier empleado, y usar las herramientas de administración ya instaladas. El antivirus no tiene nada que detectar, porque no hay archivo malicioso, y cada inicio de sesión por separado puede parecer normal. Lo que lo delata es el patrón: una cuenta que inicia sesión desde un ordenador que nunca había usado, a una hora inusual, en muchos sistemas en poco tiempo; un puesto de trabajo que de repente habla con servidores; una cuenta de servicio usada de forma interactiva. La autenticación multifactor (MFA), las cuentas de administrador separadas y los límites sobre qué máquinas pueden conectarse con cuáles son las defensas principales. NetSenX ve la parte de red, sesiones nuevas entre equipos y escaneos, en todos los planes; no ve los eventos de inicio de sesión de su directorio, que muestran los registros de identidad.
Siga leyendo
Preguntas relacionadas
- ¿Debemos detectar el movimiento lateral con los registros de autenticación o con los flujos de red?
- ¿Qué es la detección del movimiento lateral basada en grafos?
- ¿Pasan por alto las herramientas basadas en reglas los caminos de ataque nuevos?
- ¿Por qué escanearía una impresora nuestra red, y pueden usarse las impresoras para atacar otros ordenadores?
- ¿Cómo detenemos a un atacante que ya está dentro de nuestra red?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas