¿Por qué los agentes de actualización y las herramientas de monitorización parecen beaconing?

Porque se comportan igual: contactan con un servidor a intervalos regulares, de día y de noche, para buscar actualizaciones, informar de su estado o descargar configuración. Lo hacen los agentes de copia de seguridad, los antivirus, las herramientas de gestión remota, la sincronización horaria y muchas aplicaciones de negocio. Por eso las reglas sencillas basadas solo en la regularidad generan mucho ruido. Lo que distingue al malware es el contexto: un destino que nadie más en la empresa usa, un dominio registrado hace poco o un servidor alquilado, un dispositivo sin motivo para ejecutar ese software, un ritmo que empezó un día concreto o un tráfico que no encaja con el programa que el equipo debería ejecutar. NetSenX valora el beaconing frente a la historia propia de cada equipo y a su destino, explica cada alerta y le permite marcar software conocido como falso positivo, con la decisión guardada en el registro de auditoría.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas