Pourquoi les agents de mise à jour et les outils de supervision ressemblent-ils à du beaconing ?

Parce qu'ils se comportent de la même façon : ils contactent un serveur à intervalles réguliers, jour et nuit, pour vérifier les mises à jour, signaler leur état ou récupérer une configuration. Agents de sauvegarde, antivirus, outils de gestion à distance, synchronisation horaire et beaucoup d'applications métier le font. C'est pourquoi des règles simples fondées sur la seule régularité génèrent beaucoup de bruit. Ce qui distingue un logiciel malveillant, c'est le contexte : une destination que personne d'autre dans l'entreprise n'utilise, un domaine récemment enregistré ou un serveur loué, un appareil qui n'a aucune raison d'exécuter un tel logiciel, un rythme apparu un jour précis, ou un trafic qui ne correspond pas au programme censé tourner sur l'hôte. NetSenX juge le beaconing au regard de l'historique propre à chaque hôte et de sa destination, explique chaque alerte et vous permet de marquer un logiciel connu comme faux positif, la décision étant conservée dans le journal d'audit.

Cette réponse figure aussi, avec plus de contexte, ici : Les techniques d'attaque expliquées

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes