Que se passe-t-il si des attaquants désactivent notre EDR ?

Le poste devient muet, et l'outil des postes ne peut pas signaler son propre silence : il vous faut un second témoin. Désactiver ou désinstaller la protection des postes est une étape précoce fréquente des intrus et des opérateurs de rançongiciels, grâce à des droits d'administrateur volés ou à un pilote vulnérable. À partir de là, la console peut afficher la machine hors ligne ou simplement ne plus en recevoir d'événements. Deux choses aident. D'abord, traitez un agent muet comme un incident : configurez dans la console EDREDR: endpoint detection and response (protection des postes). Logiciel de sécurité installé sur chaque ordinateur, qui observe ce qui se passe sur cette machine. une alerte pour les agents qui ne remontent plus rien et vérifiez qui a le droit de les désinstaller. Ensuite, observez le réseau, que l'attaquant ne peut pas couper depuis cette seule machine. NetSenX continue de voir le comportement de l'hôte quoi qu'il arrive à son EDR : beaconing, scans, mouvements latéraux et envois inhabituels. Il ne voit pas l'état de l'EDR lui-même : il ne vous dira pas que l'agent s'est arrêté, mais ce que fait ensuite la machine.

← Les 40 questions sur NDR, EDR, SIEM, XDR, MDRTous les thèmes