Come sappiamo che l'attaccante se n'è andato davvero?

Non può saperlo con certezza, ma può costruirsi una ragionevole fiducia. Verifichi di aver capito come è entrato e che quella via sia chiusa, che ogni account e strumento da lui creato sia stato rimosso e che le credenziali siano state reimpostate. Poi cerchi l'assenza di attività: nessuna connessione verso i suoi server noti, nessun nuovo account amministratore, nessun accesso inspiegato, nessuna scansione tra host. Cerchi nei log e sugli endpoint gli indicatori emersi dall'indagine, come indirizzi IP, domini e hash di file. Mantenga una vigilanza accresciuta per almeno diverse settimane, perché alcuni attaccanti aspettano. Una compromise assessment svolta da una società esterna offre uno sguardo indipendente. NetSenX sostiene questo test di assenza dal lato della rete: beaconing, scansioni, movimento laterale e volumi in uscita insoliti vengono rilevati in ogni piano, Free compreso, quindi il silenzio sui segmenti monitorati significa qualcosa.

← Tutte le 60 domande su Risposta agli incidentiTutti i temi