Il movimento laterale va rilevato dai log di autenticazione o dai flussi di rete?

Da entrambi, perché ciascuno vede ciò che sfugge all'altro. I log di autenticazione di directory, server e VPN mostrano quale account ha effettuato l'accesso dove, con quale metodo e se è fallito; sono la fonte migliore per le credenziali rubate, ma solo per i sistemi che registrano, conservano i log e li inviano dove qualcuno li legge. I flussi di rete mostrano quale host si è collegato a quale, su quale porta, con che frequenza e con quanti dati, per ogni dispositivo di un segmento monitorato, compresi quelli che non tengono log: stampanti, appliance, server non gestiti. Non mostrano i nomi degli account. In pratica, una nuova sessione tra due host che non si erano mai parlati è un segnale di rete, e l'account che c'è dietro è una questione di identità. NetSenX copre il lato di rete in ogni piano; lo affianchi ai log di accesso della directory o a un SIEMSIEM: security information and event management. Un sistema che raccoglie i log di molti sistemi e vi cerca schemi ricorrenti., verso cui NetSenX può esportare dal piano Business.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi