Gli attaccanti lasciano qualcosa dopo che abbiamo reinstallato le macchine?
A volte sì, perché una reinstallazione pulisce solo le macchine reinstallate. Ciò che sopravvive di solito sta altrove: password e token di sessione rubati, account creati nella directory o nei servizi cloud, uno strumento di accesso remoto su un server che nessuno ha reinstallato, script pianificati su una condivisione di rete, regole del firewall modificate o un backup che conteneva già i loro strumenti. Prima di dichiarare chiuso un incidente, reimposti tutte le credenziali che potrebbero essere state esposte, controlli ovunque nuovi account, regole di inoltro della posta e software di accesso remoto, confronti le impostazioni di firewall e VPN con una copia sicura e ripristini solo da backup precedenti all'intrusione. Poi tenga d'occhio la rete per diverse settimane. Nuove connessioni verso i server dell'attaccante sono un segnale tipico di qualcosa sfuggito; NetSenX rileva il beaconing C2C2: command and control (comando e controllo). Il canale con cui il software di un attaccante riceve istruzioni dal suo server. in ogni piano, Free compreso.
Da leggere dopo
Domande correlate
- Possiamo verificare gratis se la rete aziendale ha infezioni da botnet?
- Che cos'è una compromise assessment, e ne abbiamo bisogno?
- Un'azienda del nostro settore è stata violata. Come verifichiamo se siamo i prossimi?
- Che cosa cercare nella nostra rete dopo che un partner o un'azienda del settore è stata violata?
- L'anno scorso abbiamo avuto un incidente. Come ci assicuriamo di rilevarlo se si ripetesse?
Termini usati qui
- C2 (command and control (comando e controllo))
- Il canale con cui il software di un attaccante riceve istruzioni dal suo server.