Que voit NetSenX après qu'une personne a cliqué sur un lien de phishing ?

NetSenX voit ce que l'appareil fait ensuite sur le réseau, pas l'e-mail ni le clic lui-même. Il ne lit pas le contenu des messages et ne déchiffre pas le trafic. Ce qu'il peut montrer, dans toutes les offres : un appareil qui commence des connexions régulières et cadencées vers un serveur extérieur qu'il n'avait jamais utilisé (beaconing) ; un appareil qui se met à scanner d'autres machines ; des connexions entre hôtes internes qui signalent un mouvement latéral ; et des volumes inhabituels de données quittant le réseau. Là où l'agent capture les paquets, sous Linux ou via un port miroir (SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer.), les offres à partir de Starter affichent aussi les empreintes TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS., qui aident à repérer des outils ne correspondant pas aux logiciels habituels de l'appareil. Les alertes indiquent la technique MITRE ATT&CK et, à partir de Starter, s'accompagnent de recommandations de réponse. Si le phishing vole seulement un identifiant cloud utilisé ensuite depuis l'ordinateur de l'attaquant, aucun de ces échanges ne touche votre réseau : ce sont les journaux de connexion de votre fournisseur d'identité qu'il faut consulter.

← Les 29 questions sur Phishing et suites d'un e-mail piégéTous les thèmes