Pourquoi un poste de travail ordinaire se connecterait-il la nuit au contrôleur de domaine ?

La plupart du trafic entre postes et contrôleur de domaine est anodin : connexions, stratégies de groupe, synchronisation horaire et résolution de noms ont lieu jour et nuit. Ce qui n'est pas normal, c'est qu'un poste ouvre une session à distance interactive vers le contrôleur de domaine, comme le bureau à distance ou la gestion à distance, ou utilise ses partages administratifs, surtout depuis l'ordinateur d'une personne extérieure à l'informatique et à une heure où personne ne travaille. C'est une étape typique avant qu'un attaquant ne prenne le contrôle de l'annuaire, ne crée des comptes ou ne déploie un rançongiciel partout. Réservez l'accès d'administration aux contrôleurs de domaine à quelques machines d'administration dédiées. NetSenX détecte ces nouvelles sessions d'administration entre hôtes comme mouvement latéral dans chaque offre et, à partir de l'offre Pro, les relie au balayage qui les précède souvent.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes