Qu'est-ce que la collecte (collection) dans MITRE ATT&CK ?
La collecte, c'est l'attaquant qui rassemble les données qu'il veut avant de les sortir : copier des fichiers de partages en un seul endroit, les compresser en archives, lire des boîtes aux lettres, exporter une base de données, faire des captures d'écran. Elle se manifeste souvent par un hôte qui lit soudain bien plus de données sur les serveurs de fichiers ou les bases qu'il ne l'a jamais fait, parfois la nuit, suivi d'une pause pendant la constitution des archives. Les journaux d'audit des fichiers et des bases montrent ce qui a été lu, et les outils des postes voient la création d'archives. Sur le réseau, le rassemblement ressemble à de nouvelles sessions de cet hôte vers de nombreux serveurs de fichiers, et l'étape suivante, l'exfiltration, à des volumes sortants inhabituels depuis lui. Limitez qui peut lire quoi, surtout les comptes de service aux accès étendus. NetSenX détecte les nouvelles sessions entre hôtes et les volumes sortants inhabituels par hôte dans chaque offre ; il ne voit pas quels fichiers ont été lus dans des sessions chiffrées.
À lire ensuite
Questions liées
- Qu'est-ce que le commandement et contrôle (C2) en tant que tactique ATT&CK ?
- Qu'est-ce que la tactique Impact dans MITRE ATT&CK ?
- Qu'est-ce que la cyber kill chain, et quel est son lien avec MITRE ATT&CK ?
- Comment une petite équipe peut-elle utiliser MITRE ATT&CK pour trouver les lacunes de sa détection ?
- Que se passe-t-il une fois qu'un attaquant est entré dans le réseau ?
← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes