¿Qué ve NetSenX después de que alguien haga clic en un enlace de phishing?

NetSenX ve lo que el equipo hace después en la red, no el correo ni el clic en sí. No lee el contenido del correo y no descifra el tráfico. Lo que puede mostrar, en todos los planes: un equipo que empieza conexiones regulares y periódicas con un servidor externo que nunca había usado (beaconing); un equipo que empieza a escanear otras máquinas; conexiones entre hosts internos que apuntan a movimiento lateral; y volúmenes inusuales de datos saliendo de la red. Donde el agente captura paquetes, en Linux o a través de un puerto espejo (SPANSPAN: switch port analyser (puerto espejo). Un ajuste del switch que envía una copia del tráfico a un puerto, donde un sensor puede observarlo.), los planes desde Starter muestran también huellas TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS., que ayudan a detectar herramientas que no encajan con el software habitual del equipo. Las alertas indican la técnica de MITRE ATT&CK y, desde Starter, incluyen recomendaciones de respuesta. Si el phishing solo roba un inicio de sesión en la nube que luego se usa desde el ordenador del atacante, nada de ese tráfico pasa por su red, y el lugar donde mirar son los registros de inicio de sesión de su proveedor de identidad.

← Las 29 preguntas sobre Phishing y qué hacer despuésTodos los temas