Che cos'è l'abuso di PsExec o delle condivisioni amministrative, e perché l'antivirus non lo segnala?
PsExec e strumenti simili eseguono comandi su un computer remoto copiando un piccolo servizio attraverso le sue condivisioni amministrative e avviandolo, e protocolli di gestione remota come WinRM e il desktop remoto fanno un lavoro analogo. Gli amministratori li usano ogni giorno, ed è per questo che l'antivirus di solito li lascia passare: lo strumento è firmato e legittimo, sbagliato è solo il contesto. Gli attaccanti li usano per diffondersi da una macchina a molte, distribuire il ransomware su tutti i server insieme o eseguire script con credenziali di amministratore rubate. A tradirli è chi li usa, da dove e quando: una postazione che all'1:30 apre sessioni di amministrazione verso server mai usati, o un account che tocca decine di host in pochi minuti. Limiti quali macchine possono amministrarne altre. NetSenX rileva queste nuove sessioni amministrative tra host come movimento laterale in ogni piano.
Da leggere dopo
Domande correlate
- Gli attaccanti possono muoversi nella nostra rete con password rubate e senza malware?
- Il movimento laterale va rilevato dai log di autenticazione o dai flussi di rete?
- Che cos'è il rilevamento del movimento laterale basato su grafi?
- Gli strumenti di sicurezza basati su regole perdono i nuovi percorsi di attacco?
- Perché una stampante dovrebbe scansionare la nostra rete, e le stampanti possono attaccare altri computer?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi