Che cosa significa eradicazione nella risposta agli incidenti?

L'eradicazione consiste nel rimuovere completamente la presenza dell'attaccante prima di riportare in servizio i sistemi. Comprende la cancellazione di malware e strumenti, la chiusura della via d'ingresso, la rimozione di account, attività pianificate e software di accesso remoto creati dall'attaccante, la reimpostazione di tutte le credenziali che potrebbero essere state esposte e l'aggiornamento delle vulnerabilità sfruttate. In pratica, ricostruire le macchine colpite da immagini pulite è spesso più affidabile che ripulirle, perché è difficile dimostrare di aver trovato ogni modifica. L'eradicazione fallisce quando è parziale: un attaccante che conserva un appiglio ritorna, a volte dopo settimane. Va pianificata sulla base delle prove dell'indagine, non a intuito. Sorvegliare la rete dopo serve a verificare se ha funzionato: NetSenX rileva un nuovo beaconing verso server esterni noti o nuovi e nuove sessioni laterali, in ogni piano.

← Tutte le 60 domande su Risposta agli incidentiTutti i temi