¿Por qué un puesto de trabajo normal se conectaría de noche al controlador de dominio?

La mayor parte del tráfico de los puestos de trabajo hacia el controlador de dominio es inofensivo: inicios de sesión, directivas de grupo, sincronización horaria y resolución de nombres ocurren a todas horas, también de noche. Lo que no es normal es que un puesto abra una sesión remota interactiva hacia el controlador de dominio, como el escritorio remoto o la administración remota, o use sus recursos compartidos administrativos, sobre todo desde el ordenador de alguien ajeno a TI y a una hora en la que nadie trabaja. Es un paso típico antes de que un atacante se haga con el directorio, cree cuentas o despliegue ransomware en todas partes. Limite el acceso administrativo a los controladores de dominio a unas pocas máquinas de administración dedicadas. NetSenX detecta estas sesiones nuevas de administración entre equipos como movimiento lateral en todos los planes y, desde el plan Pro, las vincula con el escaneo que a menudo las precede.

← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas