¿Cómo sabemos si alguien está intentando adivinar contraseñas en nuestra red interna?

Mire en dos sitios: los registros del objetivo y el patrón en la red. Los registros del objetivo, en un servidor de archivos, un equipo de escritorio remoto, un servidor SSH o el controlador de dominio, muestran los inicios de sesión fallidos y los nombres de cuenta probados; muchos fallos en muchas cuentas desde un mismo origen es password spraying, muchos en una sola cuenta es fuerza bruta. La red muestra el origen: un equipo que abre una y otra vez conexiones cortas hacia un servicio de inicio de sesión, a menudo en varios servidores. La fuerza bruta contra el escritorio remoto o SSH dentro de la LAN no es normal; indica una máquina comprometida o una prueba no autorizada. Bloquee o ralentice los fallos repetidos, exija autenticación multifactor (MFA) donde pueda e investigue el equipo de origen. NetSenX ve las conexiones repetidas entre equipos en los segmentos supervisados y detecta los escaneos y el movimiento lateral que suelen acompañarlas; el recuento de inicios de sesión fallidos está en el registro del servidor.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas