¿Qué pasa si los atacantes desactivan nuestro EDR?

El equipo se queda en silencio, y la herramienta del equipo no puede avisar de su propio silencio, así que necesita un segundo testigo. Desactivar o desinstalar la protección de los equipos es un paso temprano habitual de intrusos y operadores de ransomware, con derechos de administrador robados o mediante un controlador vulnerable. A partir de ahí, la consola puede mostrar la máquina como desconectada o dejar de recibir eventos. Ayudan dos cosas. Primero, trate un agente silencioso como un incidente: configure en la consola del EDREDR: endpoint detection and response (protección de endpoints). Software de seguridad instalado en cada ordenador que observa lo que ocurre en esa máquina. una alerta para los agentes que dejan de informar y revise quién tiene permiso para desinstalarlos. Segundo, vigile la red, que el atacante no puede apagar desde esa única máquina. NetSenX sigue viendo el comportamiento del host pase lo que pase con su EDR: beaconing, escaneos, movimiento lateral y subidas inusuales. No ve el estado del propio EDR, así que no le dirá que el agente se detuvo; le dirá qué hace después la máquina.

← Las 40 preguntas sobre NDR, EDR, SIEM, XDR, MDRTodos los temas