Che differenza c'è tra la modalità di base su macOS e la cattura dei pacchetti?
La modalità di base vede connessioni, orari e volumi; la cattura dei pacchetti legge anche i campi non cifrati dell'handshake TLSTLS: Transport Layer Security. La cifratura che protegge gran parte del traffico internet, come HTTPS., che servono ad alcune funzioni. Su macOS l'agente gira in una modalità di base che osserva le connessioni del Mac su cui è installato. Basta per i rilevamenti principali, come beaconing, scansioni, movimento laterale e volumi in uscita insoliti. Cattura dei pacchetti significa che l'agente copia i pacchetti stessi per leggere alcuni campi di protocollo, sempre senza decifrare nulla. È disponibile dove l'agente gira su Linux o come sensore su una porta SPANSPAN: switch port analyser (porta mirror). Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo. o TAPTAP: test access point. Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore.. Due funzioni ne dipendono: l'impronta TLS, dal piano Starter, che riconosce client di malware noti dal loro handshake, e l'inventario crittografico NQCI, attivo dal piano Pro, che mostra lo scambio di chiavi vulnerabile al calcolo quantistico e quello ibrido. Se Le serve una delle due, preveda un agente Linux o un sensore su porta mirror.
Da leggere dopo
Domande correlate
Termini usati qui
- TLS (Transport Layer Security)
- La cifratura che protegge gran parte del traffico internet, come HTTPS.
- SPAN (switch port analyser (porta mirror))
- Un'impostazione dello switch che invia una copia del traffico a una porta, dove un sensore può osservarlo.
- TAP (test access point)
- Un piccolo dispositivo che copia il traffico di un cavo di rete per un sensore.