Hoe lang moeten we het netwerk na een incident extra goed in de gaten houden?
Minstens enkele weken, en langer na een ernstige inbraak. Aanvallers die een steunpunt hielden, wachten vaak tot het responsteam ontspant, en toegang die aan anderen is verkocht, kan veel later worden gebruikt. Bekijk in deze periode dagelijks de alerts, zoek naar verbindingen met de indicatoren uit uw onderzoek, controleer op nieuwe beheerdersaccounts en tools voor externe toegang, en ga na of back-ups blijven draaien en niet door ongewone hosts worden aangeraakt. Behandel elke herhaling van het oorspronkelijke patroon als een nieuw incident, niet als ruis. Spreek vooraf af wie wat bekijkt en wanneer de verhoogde waakzaamheid eindigt. NetSenX detecteert beaconing, scans, laterale beweging en ongewoon uitgaand volume op elk abonnement, ook Free, en de alertgeschiedenis, 30 dagen op Free en langer op betaalde abonnementen, laat u de weken na het incident vergelijken met de weken ervoor.
Lees verder
Gerelateerde vragen
- Wat is een evaluatie (lessons learned) na een incident?
- Wat doen we 's nachts met een beveiligingsalert als niemand dienst heeft?
- Hadden we een ransomware-aanval in het weekend kunnen zien aankomen?
- Hoeveel tijd zit er tussen de eerste toegang en de versleuteling?
- Hoe kan ransomware zich verspreiden via een USB-stick of externe schijf?