¿Cómo revisamos un ordenador sospechoso sin alertar al atacante?
Observe antes de actuar y luego actúe de una sola vez. Un atacante que nota que lo están mirando puede borrar pruebas, pasarse a otra máquina o adelantar el cifrado, así que evite pasos ruidosos, como restablecer la contraseña del usuario o lanzar un análisis completo, antes de tener un plan. Primero reúna con discreción lo que pueda: el historial de la consola de endpoints, los registros del cortafuegos y de DNS y las conexiones que hace el ordenador. Decida con su proveedor de respuesta a incidentes qué cuentas y equipos contener y hágalo todo a la vez: aislar, restablecer credenciales desde un dispositivo limpio y bloquear los destinos del atacante en la misma ventana corta. Trabaje desde un dispositivo limpio y no hable del incidente por un buzón que podría estar comprometido. Un sensor de NetSenX en un puerto SPANSPAN: switch port analyser (puerto espejo). Un ajuste del switch que envía una copia del tráfico a un puerto, donde un sensor puede observarlo. o un TAPTAP: test access point. Un pequeño dispositivo que copia el tráfico de un cable de red para un sensor. observa sin tocar el ordenador, y sus alertas indican los destinos, los horarios y los volúmenes que necesita un plan de contención.
Siga leyendo
Preguntas relacionadas
Términos usados aquí
- SPAN (switch port analyser (puerto espejo))
- Un ajuste del switch que envía una copia del tráfico a un puerto, donde un sensor puede observarlo.
- TAP (test access point)
- Un pequeño dispositivo que copia el tráfico de un cable de red para un sensor.