Come fermiamo un attaccante che è già nella nostra rete?
Prima contenendolo e poi eliminandolo, in un'unica mossa coordinata. Scopra con discrezione il più possibile: quali host e account sono coinvolti, come l'attaccante entra ed esce e dove sono i suoi strumenti. Poi agisca insieme: isoli gli host colpiti sullo switch o sul firewall, blocchi le loro destinazioni esterne, disattivi o reimposti gli account compromessi da un dispositivo pulito e chiuda la via d'ingresso, come un account VPN o un servizio esposto. Agire a pezzi avverte l'attaccante, che può cambiare host o iniziare a danneggiare i sistemi. Coinvolga una società di risposta agli incidenti se non l'ha già fatto e tenga un registro. Dopo il contenimento, ricostruisca le macchine colpite e sorvegli da vicino per settimane. NetSenX non elimina gli attaccanti; mostra dalla rete quali host sono coinvolti e dove si collegano, ciò di cui ha bisogno un piano di contenimento, e in seguito segnala ogni attività ripresa.
Da leggere dopo
Domande correlate
- Quanto velocemente si muovono gli attaccanti una volta dentro?
- Come capiamo se il PC che usiamo per l'home banking è infetto?
- Come sapremmo se il database del nostro ERP è stato copiato fuori dall'azienda?
- Il monitoraggio di rete sa distinguere un caricamento di backup da un furto di dati?
- Perché una normale postazione dovrebbe collegarsi di notte al domain controller?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi