Come capiamo se qualcuno sta tentando di indovinare password nella nostra rete interna?
Guardi in due punti: i log del bersaglio e lo schema in rete. I log del bersaglio, su un file server, un host di desktop remoto, un server SSH o il domain controller, mostrano gli accessi falliti e i nomi degli account tentati; molti fallimenti su molti account da una sola origine sono password spraying, molti su un solo account sono brute force. La rete mostra l'origine: un host che apre ripetutamente brevi connessioni verso un servizio di accesso, spesso su più server. Un attacco brute force al desktop remoto o a SSH dentro la LAN non è normale; indica una macchina compromessa o un test non autorizzato. Blocchi o rallenti i tentativi falliti ripetuti, richieda l'autenticazione a più fattori (MFA) dove possibile e indaghi sull'host di origine. NetSenX vede le connessioni ripetute tra host sui segmenti monitorati e rileva le scansioni e il movimento laterale che di solito le accompagnano; il conteggio degli accessi falliti sta nel log del server.
Da leggere dopo
Domande correlate
- Come rileviamo grandi caricamenti da un server verso un archivio cloud?
- Che cos'è l'abuso di PsExec o delle condivisioni amministrative, e perché l'antivirus non lo segnala?
- Gli attaccanti possono muoversi nella nostra rete con password rubate e senza malware?
- Il movimento laterale va rilevato dai log di autenticazione o dai flussi di rete?
- Che cos'è il rilevamento del movimento laterale basato su grafi?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi