Comment retrouver le patient zéro, la première machine compromise par l'attaquant ?

Remontez le temps à partir de ce que vous savez, en vous appuyant sur les horodatages. Partez de la machine où l'incident a été remarqué, cherchez quel autre hôte s'y est connecté le premier de façon inhabituelle, puis recommencez pour cet hôte. Les journaux des postes montrent les connexions et les nouveaux programmes, ceux de l'annuaire quel compte a été utilisé depuis quel ordinateur, ceux du pare-feu et du VPN les premières connexions extérieures. Les premiers contacts réguliers avec un serveur de l'attaquant désignent souvent la première machine infectée. Le patient zéro compte parce qu'il révèle comment l'attaquant est entré, voie qu'il faut fermer avant de rétablir les systèmes. Gardez à l'esprit que la première machine trouvée n'est souvent pas la première infectée. Les alertes NetSenX portent heures, hôtes et destinations, et à partir de l'offre Pro la corrélation à l'échelle du réseau relie balayage, nouvelles sessions et beaconing entre hôtes en un seul récit, ce qui raccourcit la recherche.

← Les 60 questions sur Réponse à incidentTous les thèmes