Qu'est-ce que le commandement et contrôle (C2) en tant que tactique ATT&CK ?
Le commandement et contrôle est la tactique qui permet aux attaquants de dialoguer avec les systèmes compromis : envoyer des commandes, recevoir des résultats et livrer d'autres outils. Les techniques comprennent des contacts réguliers via des protocoles web, des canaux chiffrés, des services cloud ou messageries légitimes utilisés comme relais, le tunnelling par DNS ou d'autres protocoles, des ports non standard et des proxys qui cachent le vrai serveur. Comme ce canal doit exister pour que l'attaquant agisse, c'est l'un des éléments les plus fiables à détecter, même quand le contenu est chiffré : le rythme, la destination et la cadence le trahissent. Bloquer les destinations malveillantes connues aide, mais n'attrape pas les nouvelles. NetSenX détecte le beaconing dans chaque offre ainsi que le tunnelling DNS et, à partir de l'offre Starter, compare les handshakes TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. aux empreintes de logiciels malveillants connus là où l'agent capture les paquets, sous Linux ou en capteur SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer./TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur..
À lire ensuite
Questions liées
- Qu'est-ce que la tactique Impact dans MITRE ATT&CK ?
- Qu'est-ce que la cyber kill chain, et quel est son lien avec MITRE ATT&CK ?
- Comment une petite équipe peut-elle utiliser MITRE ATT&CK pour trouver les lacunes de sa détection ?
- Que se passe-t-il une fois qu'un attaquant est entré dans le réseau ?
- Un antivirus ou un EDR seul peut-il détecter le mouvement latéral ?
Termes utilisés ici
- TLS (Transport Layer Security)
- Le chiffrement qui protège la plupart du trafic internet, comme HTTPS.
- SPAN (switch port analyser (port miroir))
- Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer.
- TAP (test access point)
- Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur.
← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes