Faut-il détecter le mouvement latéral dans les journaux d'authentification ou dans les flux réseau ?

Les deux, car chacun voit ce que l'autre manque. Les journaux d'authentification de l'annuaire, des serveurs et du VPN montrent quel compte s'est connecté où, par quelle méthode et si la tentative a échoué ; c'est la meilleure source pour repérer des identifiants volés, mais seulement pour les systèmes qui journalisent, conservent les journaux et les envoient là où quelqu'un les lit. Les flux réseau montrent quel hôte s'est connecté à quel autre, sur quel port, à quelle fréquence et pour quel volume, pour chaque appareil d'un segment surveillé, y compris ceux qui ne tiennent aucun journal : imprimantes, appliances, serveurs non gérés. Ils ne montrent pas les noms de comptes. En pratique, une nouvelle session entre deux hôtes qui ne se parlaient jamais est un signal réseau, et le compte qui se trouve derrière est une question d'identité. NetSenX couvre le côté réseau dans chaque offre ; associez-le aux journaux de connexion de votre annuaire ou à un SIEMSIEM: security information and event management. Un système qui collecte les journaux de nombreux systèmes et y cherche des motifs., vers lequel NetSenX peut exporter à partir de l'offre Business.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes