Un dipendente ha inserito la password in una pagina di phishing. Che cosa dobbiamo controllare in rete?

Prima il lavoro sull'identità: reimpostare la password, revocare le sessioni, controllare il registro degli accessi e i metodi MFA. Poi cerchi in rete segni che l'accesso sia stato usato per andare oltre. Domande utili: il dispositivo o l'account del dipendente si è collegato a server che normalmente non usa, come file server, il domain controller o i sistemi finanziari? Sono partite sessioni di desktop remoto o di gestione remota da una macchina insolita? Qualche dispositivo ha iniziato connessioni regolari e cadenzate verso un indirizzo esterno sconosciuto, il che può indicare un canale di controllo remoto? Sono uscite dalla rete quantità di dati insolitamente grandi? In NetSenX lo storico degli avvisi e la mappa della rete mostrano questi schemi in ogni piano: beaconing, scansione interna, movimento laterale e volumi in uscita insoliti. Se nei giorni dopo il clic non compare nulla, è rassicurante ma non una prova, perché le caselle di posta in cloud e le app SaaS si raggiungono via internet e quell'attività non attraversa mai la sua rete.

← Tutte le 29 domande su Phishing e cosa fare dopoTutti i temi