Qu'est-ce que l'accès aux identifiants dans une cyberattaque ?
L'accès aux identifiants est la tactique qui consiste à voler mots de passe, empreintes, tickets et jetons pour que l'attaquant puisse se connecter sous l'identité de quelqu'un de légitime. Les techniques courantes sont l'extraction d'identifiants de la mémoire d'un ordinateur, la lecture de mots de passe enregistrés dans des navigateurs ou des scripts, le devinement ou la pulvérisation de mots de passe contre des services de connexion, leur capture sur le réseau par des procédés d'adversary-in-the-middle, et la demande de tickets de service à casser hors ligne. Les défenses sont l'authentification multifacteur (MFA), des mots de passe longs et uniques pour les comptes de service, moins de connexions administrateur sur les postes ordinaires et une protection des postes contre l'extraction de mémoire. Une partie se voit sur le réseau, comme de nombreuses connexions échouées d'un hôte vers des services de connexion ou des manipulations ARP sur un segment ; l'essentiel se passe sur les hôtes et dans l'annuaire. NetSenX voit le côté réseau et surtout l'usage fait ensuite des identifiants volés : de nouvelles sessions entre hôtes.
À lire ensuite
Questions liées
- Qu'est-ce que la découverte (discovery) dans MITRE ATT&CK ?
- Qu'est-ce que la collecte (collection) dans MITRE ATT&CK ?
- Qu'est-ce que le commandement et contrôle (C2) en tant que tactique ATT&CK ?
- Qu'est-ce que la tactique Impact dans MITRE ATT&CK ?
- Qu'est-ce que la cyber kill chain, et quel est son lien avec MITRE ATT&CK ?
← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes