Un salarié a saisi son mot de passe sur une page de phishing. Que vérifier sur le réseau ?

Commencez par l'identité : réinitialiser le mot de passe, révoquer les sessions, vérifier le journal de connexions et les méthodes MFA. Cherchez ensuite sur le réseau des signes que l'identifiant a servi à aller plus loin. Questions utiles : l'appareil ou le compte du salarié s'est-il connecté à des serveurs qu'il n'utilise jamais, comme les serveurs de fichiers, le contrôleur de domaine ou les systèmes financiers ? Des sessions de bureau à distance ou d'administration à distance ont-elles démarré depuis une machine inhabituelle ? Un appareil a-t-il commencé des connexions régulières et cadencées vers une adresse extérieure inconnue, ce qui peut signaler un canal de contrôle à distance ? Des volumes de données inhabituels sont-ils sortis du réseau ? Dans NetSenX, l'historique des alertes et la carte du réseau montrent ces schémas dans toutes les offres : beaconing, scan interne, mouvement latéral et volumes sortants inhabituels. Si rien n'apparaît dans les jours suivant le clic, c'est rassurant mais pas une preuve, car les boîtes mail cloud et les applications SaaS se joignent par internet et cette activité ne traverse jamais votre réseau.

← Les 29 questions sur Phishing et suites d'un e-mail piégéTous les thèmes