La surveillance réseau voit-elle les attaques contre les comptes et l'annuaire ?

En partie, et NetSenX moins qu'on pourrait le croire. Beaucoup d'attaques d'identité se déroulent dans les systèmes de connexion : pulvérisation de mots de passe contre des comptes cloud, hameçonnage de codes MFA, vol de jetons de session et abus de droits dans l'annuaire. Elles laissent des traces dans les journaux du fournisseur d'identité, de l'annuaire et du cloud, pas sur le réseau du bureau, et ce sont donc les outils qui lisent ces journaux, comme la détection des risques du fournisseur d'identité, un EDREDR: endpoint detection and response (protection des postes). Logiciel de sécurité installé sur chaque ordinateur, qui observe ce qui se passe sur cette machine. ou un SIEMSIEM: security information and event management. Un système qui collecte les journaux de nombreux systèmes et y cherche des motifs., qui les repèrent. Certaines attaques contre l'annuaire traversent le réseau, par exemple un poste qui demande soudain de nombreux tickets de service au contrôleur de domaine, et des outils spécialisés surveillent ces protocoles. NetSenX n'émet pas d'alertes sur les événements d'identité. Ce qu'il voit, c'est le comportement des appareils autour : les tentatives de connexion répétées contre les hôtes surveillés comme attaque par force brute, ainsi que le mouvement latéral, le balayage et le beaconing qui suivent la compromission d'un compte, sur toutes les offres. Utilisez-le à côté de vos journaux d'identité, pas à leur place.

← Les 45 questions sur Zero trust, identité et segmentationTous les thèmes