¿Qué es la recopilación (collection) en MITRE ATT&CK?
La recopilación es el atacante reuniendo los datos que quiere antes de sacarlos: copiar archivos de carpetas compartidas a un solo sitio, comprimirlos en archivos, leer buzones, exportar una base de datos, hacer capturas de pantalla. A menudo se manifiesta como un equipo que de repente lee mucho más de los servidores de archivos o de las bases de datos que nunca, a veces de noche, seguido de una pausa mientras se crean los archivos comprimidos. Los registros de auditoría de archivos y bases de datos muestran qué se leyó, y las herramientas de endpoint ven la creación de archivos comprimidos. En la red, la recopilación parece sesiones nuevas desde ese equipo hacia muchos servidores de archivos, y el siguiente paso, la exfiltración, un volumen saliente inusual desde él. Limite quién puede leer qué, sobre todo las cuentas de servicio con acceso amplio a archivos. NetSenX detecta sesiones nuevas entre equipos y volúmenes salientes inusuales por equipo en todos los planes; no ve qué archivos se leyeron dentro de sesiones cifradas.
Siga leyendo
Preguntas relacionadas
- ¿Qué es el mando y control (C2) como táctica de ATT&CK?
- ¿Qué es la táctica Impact en MITRE ATT&CK?
- ¿Qué es la cyber kill chain y qué relación tiene con MITRE ATT&CK?
- ¿Cómo puede un equipo pequeño usar MITRE ATT&CK para encontrar huecos en su detección?
- ¿Qué ocurre después de que un atacante entra en la red?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas