Que surveiller sur notre réseau après l'attaque d'un partenaire ou d'une entreprise du secteur ?
Chaque lien avec elle, et tout ce qui est nouveau. Commencez par ce qui vous relie : tunnels VPN communs, comptes d'accès à distance qu'elle utilise sur vos systèmes, transferts de fichiers, fils d'e-mails et dossiers cloud partagés. Suspendez ou changez ces identifiants jusqu'à ce qu'elle confirme ce qui a été touché, et traitez avec prudence ses e-mails demandant un changement de coordonnées de paiement, car les attaquants réutilisent les fils de messagerie volés. Si son avis ou son communiqué liste des indicateurs de compromission, comme des adresses IP, des domaines ou des empreintes de fichiers, recherchez-les dans vos journaux de pare-feu, de proxy et DNS sur plusieurs semaines. Observez ensuite les comportements : des hôtes qui contactent soudain de nouveaux serveurs extérieurs à intervalles réguliers, du balayage, des envois inhabituels. NetSenX les détecte dans chaque offre, et sa cartographie réseau montre qui communique avec qui sur les segments surveillés.
À lire ensuite
Questions liées
- Nous avons eu un incident l'an dernier. Comment être sûrs de le détecter s'il se reproduisait ?
- Pourquoi les entreprises apprennent-elles si souvent une intrusion par un tiers ?
- Comment distinguer une attaque réseau d'une grosse mise à jour ou d'une sauvegarde ?
- Comment savoir à quoi ressemble la normale sur notre réseau ?
- Qu'est-ce qu'un indicateur de compromission (IOC) ?