Il monitoraggio di rete vede gli attacchi agli account e alla directory?

In parte, e NetSenX meno di quanto ci si potrebbe aspettare. Molti attacchi all'identità avvengono dentro i sistemi di accesso: password spraying contro account cloud, phishing dei codici MFA, furto di token di sessione e abuso dei permessi della directory. Lasciano tracce nei log del provider di identità, della directory e del cloud, non nella rete dell'ufficio, quindi a individuarli sono gli strumenti che leggono quei log, come il rilevamento dei rischi del provider di identità, un EDREDR: endpoint detection and response (protezione degli endpoint). Software di sicurezza installato su ogni computer che osserva ciò che accade su quella macchina. o un SIEMSIEM: security information and event management. Un sistema che raccoglie i log di molti sistemi e vi cerca schemi ricorrenti.. Alcuni attacchi alla directory attraversano invece la rete, per esempio una postazione che all'improvviso chiede molti ticket di servizio al controller di dominio, e strumenti specializzati osservano quei protocolli. NetSenX non genera avvisi sugli eventi di identità. Ciò che vede è il comportamento dei dispositivi attorno: i tentativi di accesso ripetuti contro gli host monitorati come brute force, e il movimento laterale, le scansioni e il beaconing che seguono la compromissione di un account, su tutti i piani. Lo usi accanto ai log di identità, non al loro posto.

← Tutte le 45 domande su Zero trust, identità e segmentazioneTutti i temi