Quelle différence entre le mode de base sous macOS et la capture de paquets ?

Le mode de base voit les connexions, les horaires et les volumes ; la capture de paquets lit en plus les champs non chiffrés de la négociation TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS., dont certaines fonctions ont besoin. Sous macOS, l'agent fonctionne dans un mode de base qui observe les connexions du Mac sur lequel il est installé. Cela suffit pour les détections essentielles, comme le beaconing, les scans, les mouvements latéraux et les volumes sortants inhabituels. La capture de paquets signifie que l'agent copie les paquets eux-mêmes pour lire quelques champs de protocole, toujours sans rien déchiffrer. Elle est disponible quand l'agent tourne sous Linux, ou comme capteur sur un port SPANSPAN: switch port analyser (port miroir). Un réglage du commutateur qui envoie une copie du trafic vers un port, où un capteur peut l'observer. ou TAPTAP: test access point. Un petit boîtier qui copie le trafic d'un câble réseau pour un capteur.. Deux fonctions en dépendent : l'empreinte TLS, dès l'offre Starter, qui reconnaît des clients malveillants connus à leur négociation, et l'inventaire cryptographique NQCI, actif dès l'offre Pro, qui signale l'échange de clés vulnérable au quantique et l'échange hybride. Si vous avez besoin de l'une d'elles, prévoyez un agent Linux ou un capteur sur port miroir.

← Les 20 questions sur NetSenX : offres et mise en placeTous les thèmes