Les attaquants laissent-ils quelque chose derrière eux après la réinstallation de nos machines ?
Parfois, car une réinstallation ne nettoie que les machines réinstallées. Ce qui subsiste se trouve généralement ailleurs : mots de passe et jetons de session volés, comptes créés dans l'annuaire ou dans des services cloud, outil d'accès à distance sur un serveur que personne n'a réinstallé, scripts planifiés sur un partage de fichiers, règles de pare-feu modifiées ou sauvegarde qui contenait déjà leurs outils. Avant de déclarer un incident clos, réinitialisez tous les identifiants susceptibles d'avoir été exposés, passez en revue partout les nouveaux comptes, les règles de transfert de messagerie et les logiciels d'accès à distance, comparez les réglages du pare-feu et du VPN avec une copie saine, et ne restaurez qu'à partir de sauvegardes antérieures à l'intrusion. Surveillez ensuite de près pendant plusieurs semaines. De nouvelles connexions vers les serveurs de l'attaquant signalent typiquement un oubli ; NetSenX détecte le beaconing C2C2: command and control (commande et contrôle). Le canal par lequel le logiciel d'un attaquant reçoit des instructions de son serveur. dans chaque offre, Free comprise.
À lire ensuite
Questions liées
- Pouvons-nous vérifier gratuitement si notre réseau d'entreprise est infecté par un botnet ?
- Qu'est-ce qu'une évaluation de compromission, et en avons-nous besoin ?
- Une entreprise de notre secteur a été piratée. Comment vérifier si nous sommes les prochains ?
- Que surveiller sur notre réseau après l'attaque d'un partenaire ou d'une entreprise du secteur ?
- Nous avons eu un incident l'an dernier. Comment être sûrs de le détecter s'il se reproduisait ?
Termes utilisés ici
- C2 (command and control (commande et contrôle))
- Le canal par lequel le logiciel d'un attaquant reçoit des instructions de son serveur.