Per quanto tempo dobbiamo sorvegliare da vicino la rete dopo un incidente?
Almeno diverse settimane, e più a lungo dopo un'intrusione grave. Gli attaccanti che hanno mantenuto un appiglio aspettano spesso che il team di risposta abbassi la guardia, e un accesso venduto ad altri può essere usato molto più tardi. In questo periodo esamini gli alert ogni giorno, cerchi connessioni verso gli indicatori emersi dall'indagine, controlli la comparsa di nuovi account amministratore e strumenti di accesso remoto e verifichi che i backup continuino a funzionare senza essere toccati da host insoliti. Tratti ogni ripetizione dello schema originale come un nuovo incidente, non come rumore. Stabilisca in anticipo chi esamina che cosa e quando termina la vigilanza rafforzata. NetSenX rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, Free compreso, e la sua cronologia degli alert, 30 giorni con Free e di più con i piani a pagamento, consente di confrontare le settimane dopo l'incidente con quelle precedenti.
Da leggere dopo
Domande correlate
- Che cos'è una revisione delle lezioni apprese dopo un incidente?
- Che cosa facciamo con un alert di sicurezza di notte quando nessuno è reperibile?
- Avremmo potuto prevedere un attacco ransomware nel fine settimana?
- Quanto tempo passa tra il primo accesso e la cifratura?
- Come può diffondersi un ransomware tramite una chiavetta USB o un disco esterno?
← Tutte le 60 domande su Risposta agli incidentiTutti i temi