Che cosa cercare nella nostra rete dopo che un partner o un'azienda del settore è stata violata?
Ogni collegamento con quell'azienda e tutto ciò che è nuovo. Parta da ciò che vi unisce: tunnel VPN condivisi, account di accesso remoto che usa sui Suoi sistemi, trasferimenti di file, thread di e-mail e cartelle cloud condivise. Sospenda o cambi quelle credenziali finché non conferma che cosa è stato colpito e tratti con cautela le sue e-mail che chiedono di cambiare le coordinate di pagamento, perché gli attaccanti riutilizzano i thread di posta rubati. Se il suo avviso o la sua dichiarazione elenca indicatori di compromissione, come indirizzi IP, domini o hash di file, li cerchi nei log di firewall, proxy e DNS delle ultime settimane. Poi osservi il comportamento: host che all'improvviso contattano a intervalli regolari nuovi server esterni, scansioni, invii insoliti. NetSenX li rileva in ogni piano, e la sua mappa di rete mostra chi comunica con chi sui segmenti monitorati.
Da leggere dopo
Domande correlate
- L'anno scorso abbiamo avuto un incidente. Come ci assicuriamo di rilevarlo se si ripetesse?
- Perché le aziende scoprono così spesso una violazione da soggetti esterni?
- Come distinguiamo un attacco di rete da un grosso aggiornamento o da un backup?
- Come sappiamo che aspetto ha la normalità nella nostra rete?
- Che cos'è un indicatore di compromissione (IOC)?