Moeten we laterale beweging opsporen in authenticatielogs of in netwerkflows?

In beide, want elk ziet wat het andere mist. Authenticatielogs van directory, servers en VPN tonen welk account zich waar aanmeldde, met welke methode en of het mislukte; ze zijn de beste bron voor gestolen inloggegevens, maar alleen voor systemen die loggen, de logs bewaren en ze sturen naar een plek waar iemand ze leest. Netwerkflows tonen welke host met welke verbinding maakte, op welke poort, hoe vaak en hoeveel, voor elk apparaat in een gemonitord segment, ook voor apparaten die geen logs bijhouden: printers, appliances, onbeheerde servers. Accountnamen tonen ze niet. In de praktijk is een nieuwe sessie tussen twee hosts die nooit met elkaar praatten een netwerksignaal, en het account erachter een identiteitsvraag. NetSenX dekt de netwerkkant op elk abonnement; combineer het met de aanmeldlogs van uw directory of een SIEMSIEM: security information and event management. Een systeem dat logs van veel systemen verzamelt en er patronen in zoekt., waarnaar NetSenX vanaf het Business-plan kan exporteren.

← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen