Come troviamo il paziente zero, la prima macchina compromessa dall'attaccante?

Proceda a ritroso da ciò che sa, aiutandosi con le marche temporali. Parta dalla macchina su cui è stato notato l'incidente, si chieda quale altro host vi si è collegato per primo in modo insolito e ripeta per quell'host. I log degli endpoint mostrano accessi e nuovi programmi, quelli della directory quale account è stato usato da quale computer, quelli di firewall e VPN le prime connessioni verso l'esterno. I primi contatti regolari con un server dell'attaccante indicano spesso la prima macchina infetta. Il paziente zero conta perché rivela come è entrato l'attaccante, via che va chiusa prima del ripristino. Tenga presente che la prima macchina trovata spesso non è la prima infettata. Gli alert di NetSenX riportano orari, host e destinazioni, e dal piano Pro la correlazione sull'intera rete collega scansioni, nuove sessioni e beaconing tra host in un'unica storia, accorciando questa ricerca.

← Tutte le 60 domande su Risposta agli incidentiTutti i temi