Een medewerker vulde zijn wachtwoord in op een phishingpagina. Wat moeten we op het netwerk controleren?

Eerst het identiteitswerk: wachtwoord resetten, sessies intrekken, het aanmeldlogboek en de MFA-methoden nakijken. Zoek daarna op het netwerk naar tekenen dat de login is gebruikt om verder te gaan. Nuttige vragen: maakte het apparaat of account van de medewerker verbinding met servers die het normaal nooit gebruikt, zoals bestandsservers, de domeincontroller of financiële systemen? Startten er sessies voor extern bureaublad of beheer op afstand vanaf een ongebruikelijke machine? Begon een apparaat regelmatige, getimede verbindingen met een onbekend extern adres, wat op een kanaal voor besturing op afstand kan wijzen? Verliet er ongewoon veel data het netwerk? In NetSenX tonen de alertgeschiedenis en de netwerkkaart deze patronen in elk abonnement: beaconing, intern scannen, laterale beweging en ongebruikelijke uitgaande datavolumes. Verschijnt daar in de dagen na de klik niets van, dan is dat geruststellend maar geen bewijs, want cloudmailboxen en SaaS-apps worden via internet bereikt en die activiteit komt nooit over uw netwerk.

← Alle 29 vragen over Phishing en de nasleepAlle onderwerpen