Comment vérifier que notre détection réseau fonctionne vraiment ?

Produisez, sur un hôte de test qui vous appartient, des versions inoffensives des comportements qu'elle doit repérer, et regardez quelles alertes apparaissent et en combien de temps. Commencez simplement et prévenez toute personne susceptible de réagir. Un scan de ports lancé depuis un portable de réserve contre votre propre sous-réseau devrait être signalé. Un script qui appelle le même serveur de test externe toutes les quelques minutes pendant une heure imite le beaconing. Copier de nuit une grosse archive d'un serveur de test vers un compte de stockage externe imite un vol de données. Notez ce que vous avez fait, quand, et ce que l'outil a remonté, puis relisez le texte de l'alerte : un collègue saurait-il quoi faire ? Recommencez après chaque changement important du réseau ou de l'outil. La simulation de brèche et d'attaque (breach and attack simulation, BAS) automatise ces tests. NetSenX inclut la BAS dès l'offre Business ; dans toutes les offres, vous pouvez mener ces tests à la main face aux détections qu'il remonte.

Cette réponse figure aussi, avec plus de contexte, ici : NDR, EDR, SIEM, XDR, MDR

← Les 40 questions sur NDR, EDR, SIEM, XDR, MDRTous les thèmes