Il nostro antivirus si è disattivato da solo. È un segno di compromissione?
Può esserlo. Disattivare gli strumenti di sicurezza è un primo passo frequente di attaccanti e ransomware, perché elimina un testimone prima che inizi il lavoro vero. Controlli nella console di protezione degli endpoint chi o che cosa ha modificato l'impostazione e quando, cerchi su quella macchina nuovi account amministratore, nuovi servizi e attività pianificate, e la isoli se non riesce a spiegare la modifica. Chieda al supporto del produttore se può essere stato un aggiornamento; a volte la risposta è proprio questa. È una prova dell'endpoint: un sensore di rete non vede un'impostazione cambiata su un computer. Può però mostrare se quella macchina ha poi iniziato a comportarsi in modo insolito in rete, per esempio contattando a intervalli regolari un nuovo server esterno o aprendo sessioni verso altri host, cosa che NetSenX rileva in ogni piano.
Da leggere dopo
Domande correlate
- Come vedo i dispositivi sconosciuti sulla rete aziendale?
- Si può sapere chi è connesso al Wi-Fi aziendale?
- Qualcuno può entrare nella rete dell'ufficio da una presa di rete libera?
- Quanto restano gli attaccanti in una rete prima di essere scoperti?
- Da quali segnali capisco che il mio computer è monitorato sulla rete dell'ufficio?