Perché agenti di aggiornamento e strumenti di monitoraggio sembrano beaconing?

Perché si comportano allo stesso modo: contattano un server a intervalli regolari, giorno e notte, per cercare aggiornamenti, riferire il proprio stato o scaricare la configurazione. Lo fanno agenti di backup, antivirus, strumenti di gestione remota, sincronizzazione dell'ora e molte applicazioni aziendali. Per questo le regole semplici basate solo sulla regolarità producono molto rumore. Ciò che distingue il malware è il contesto: una destinazione che nessun altro in azienda usa, un dominio registrato di recente o un server noleggiato, un dispositivo senza motivo per eseguire quel software, un ritmo iniziato in un giorno preciso, o traffico che non corrisponde al programma che l'host dovrebbe eseguire. NetSenX valuta il beaconing rispetto alla storia di ciascun host e alla sua destinazione, spiega ogni alert e Le permette di segnare un software noto come falso positivo, con la decisione conservata nel log di audit.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi