Che cosa vede NetSenX dopo che qualcuno ha cliccato su un link di phishing?

NetSenX vede che cosa fa il dispositivo in rete dopo, non l'e-mail né il clic in sé. Non legge il contenuto della posta e non decifra il traffico. Ciò che può mostrare, in ogni piano: un dispositivo che inizia connessioni regolari e cadenzate verso un server esterno mai usato prima (beaconing); un dispositivo che inizia a scansionare altre macchine; connessioni tra host interni che indicano movimento laterale; e volumi insoliti di dati in uscita dalla rete. Dove l'agente cattura i pacchetti, su Linux o tramite una porta mirror (SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo.), i piani da Starter mostrano anche le impronte TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS., che aiutano a individuare strumenti non coerenti con il software abituale del dispositivo. Gli avvisi indicano la tecnica MITRE ATT&CK e, da Starter, includono raccomandazioni di risposta. Se il phishing ruba solo un accesso cloud poi usato dal computer dell'attaccante, nulla di quel traffico tocca la sua rete, e il posto dove guardare sono i registri di accesso del suo fornitore di identità.

← Tutte le 29 domande su Phishing e cosa fare dopoTutti i temi