Comment arrêter un attaquant qui est déjà dans notre réseau ?
En contenant d'abord, puis en chassant, en une seule action coordonnée. Découvrez discrètement le plus possible : quels hôtes et comptes sont concernés, comment l'attaquant entre et sort, où se trouvent ses outils. Agissez ensuite d'un bloc : isolez les hôtes touchés au niveau du commutateur ou du pare-feu, bloquez leurs destinations extérieures, désactivez ou réinitialisez les comptes compromis depuis un appareil sain, et fermez la voie d'entrée, comme un compte VPN ou un service exposé. Agir par petits bouts alerte l'attaquant, qui peut changer d'hôte ou commencer à endommager les systèmes. Faites appel à une société de réponse à incident si ce n'est pas déjà fait, et tenez un journal. Après le confinement, reconstruisez les machines touchées et surveillez de près pendant des semaines. NetSenX ne chasse pas les attaquants ; il montre depuis le réseau quels hôtes sont concernés et où ils se connectent, ce dont un plan de confinement a besoin, puis il détecte toute reprise d'activité.
À lire ensuite
Questions liées
- À quelle vitesse les attaquants se déplacent-ils une fois à l'intérieur ?
- Comment savoir si l'ordinateur utilisé pour la banque en ligne est infecté ?
- Comment saurions-nous que la base de données de notre ERP a été copiée hors de l'entreprise ?
- La surveillance réseau peut-elle distinguer un envoi de sauvegarde d'un vol de données ?
- Pourquoi un poste de travail ordinaire se connecterait-il la nuit au contrôleur de domaine ?
← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes