Hoe onderzoeken we een verdachte computer zonder de aanvaller te waarschuwen?
Eerst observeren, dan handelen, en dan alles tegelijk. Een aanvaller die merkt dat er wordt gekeken, kan bewijs wissen, naar een andere machine uitwijken of de versleuteling vervroegen. Vermijd dus opvallende stappen, zoals het wachtwoord van de gebruiker resetten of een volledige scan draaien, voordat u een plan hebt. Verzamel eerst onopvallend wat u kunt: de geschiedenis in de endpointconsole, firewall- en DNS-logs en de verbindingen die de computer maakt. Bepaal met uw incidentresponsdienstverlener welke accounts en hosts u indamt en doe het daarna in één keer: isoleren, inloggegevens resetten vanaf een schoon apparaat en de bestemmingen van de aanvaller blokkeren binnen hetzelfde korte venster. Werk vanaf een schoon apparaat en bespreek het incident niet via een mailbox die gecompromitteerd kan zijn. Een NetSenX-sensor op een SPANSPAN: switch port analyser (spiegelpoort). Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken.- of TAPTAP: test access point. Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.-poort observeert zonder de computer aan te raken, en zijn alerts noemen de bestemmingen, tijdstippen en volumes die een indammingsplan nodig heeft.
Lees verder
Gerelateerde vragen
Begrippen op deze pagina
- SPAN (switch port analyser (spiegelpoort))
- Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken.
- TAP (test access point)
- Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.