Che cosa succede dopo che un attaccante è entrato nella rete?

Di solito la stessa sequenza. L'attaccante consolida l'appiglio perché sopravviva a un riavvio, contatta il proprio server per ricevere istruzioni, si guarda intorno per capire che cosa contiene la rete, ruba o eleva le credenziali, si sposta verso sistemi più preziosi come file server, domain controller e server di backup, raccoglie dati, li invia all'esterno e solo allora, nel caso del ransomware, cifra. Alcuni passi durano minuti, altri settimane. La maggior parte attraversa la rete: contatti regolari con un nuovo server esterno, un host che scansiona intervalli interni, nuove sessioni di amministrazione tra macchine, invii insoliti. Per questo il rilevamento di rete è prezioso dopo il primo appiglio, anche quando l'ingresso è stato invisibile. NetSenX rileva beaconing, scansioni, movimento laterale e volumi di dati in uscita insoliti in ogni piano, Free compreso, sui segmenti che monitora.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi