Perché una normale postazione dovrebbe collegarsi di notte al domain controller?

La maggior parte del traffico dalle postazioni al domain controller è innocua: accessi, criteri di gruppo, sincronizzazione dell'ora e risoluzione dei nomi avvengono a ogni ora, anche di notte. Non è normale che una postazione apra una sessione remota interattiva verso il domain controller, come il desktop remoto o la gestione remota, o ne usi le condivisioni amministrative, soprattutto da un computer di qualcuno esterno all'IT e a un'ora in cui nessuno lavora. È un passo tipico prima che un attaccante prenda il controllo della directory, crei account o distribuisca ransomware ovunque. Limiti l'accesso amministrativo ai domain controller a poche macchine di amministrazione dedicate. NetSenX rileva queste nuove sessioni amministrative tra host come movimento laterale in ogni piano e, dal piano Pro, le collega alle scansioni che spesso le precedono.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi