Come controlliamo un computer sospetto senza mettere in allarme l'attaccante?

Osservi prima di agire, e poi agisca tutto in una volta. Un attaccante che si accorge di essere osservato può cancellare le prove, spostarsi su un'altra macchina o avviare prima la cifratura, quindi eviti passi rumorosi, come reimpostare la password dell'utente o lanciare una scansione completa, prima di avere un piano. Raccolga prima con discrezione ciò che può: la cronologia della console degli endpoint, i log del firewall e dei DNS e le connessioni che il computer stabilisce. Decida con il Suo fornitore di risposta agli incidenti quali account e host contenere, poi lo faccia insieme: isolare, reimpostare le credenziali da un dispositivo pulito e bloccare le destinazioni dell'attaccante nella stessa breve finestra. Lavori da un dispositivo pulito e non discuta l'incidente tramite una casella di posta che potrebbe essere compromessa. Un sensore NetSenX su una porta SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo. o un TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore. osserva senza toccare il computer, e i suoi alert indicano destinazioni, orari e volumi di cui un piano di contenimento ha bisogno.

← Tutte le 35 domande su Sono stato violato?Tutti i temi