Perché gli attaccanti usano strumenti di accesso remoto legittimi?

Perché sono considerati affidabili. Gli strumenti di assistenza e gestione remota sono firmati, installati comunemente e lasciati passare dai firewall, quindi l'antivirus li segnala di rado, e il loro traffico va verso il cloud del produttore come ogni sessione legittima. Gli attaccanti li installano dopo essere entrati, o abusano di quelli già presenti, per mantenere un accesso che sopravvive a un cambio di password. Gli avvisi di CISA su gruppi come Akira e Medusa descrivono proprio questo uso del software di accesso remoto. Tenga un elenco degli strumenti che l'azienda usa davvero, blocchi l'installazione degli altri, richieda l'autenticazione a più fattori (MFA) per quelli consentiti e rimuova quelli che non servono a nessuno. In rete, uno strumento inatteso appare come un host che si collega regolarmente a un fornitore di accesso remoto mai usato prima. NetSenX segnala questi nuovi contatti regolari come beaconing in ogni piano; decidere se uno strumento è approvato spetta a Lei.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi