Hoe weten we of iemand op ons interne netwerk wachtwoorden probeert te raden?
Kijk op twee plekken: de logs van het doelwit en het patroon op het netwerk. De logs van het doelwit, op een bestandsserver, een remote-desktophost, een SSH-server of de domeincontroller, tonen de mislukte aanmeldingen zelf en de geprobeerde accountnamen; veel mislukkingen over veel accounts vanaf één bron is password spraying, veel voor één account is brute force. Het netwerk toont de bron: één host die herhaaldelijk korte verbindingen met een aanmelddienst maakt, vaak op meerdere servers. Brute force op remote desktop of SSH binnen het LAN is niet normaal; het wijst op een gecompromitteerde machine of een niet-geautoriseerde test. Blokkeer of vertraag herhaalde mislukkingen, vereis multifactorauthenticatie (MFA) waar het kan en onderzoek de bronhost. NetSenX ziet de herhaalde verbindingen tussen hosts in gemonitorde segmenten en detecteert de scans en laterale beweging die er meestal bij horen; het aantal mislukte aanmeldingen staat in het log van de server.
Lees verder
Gerelateerde vragen
- Hoe ontdekken we grote uploads van een server naar cloudopslag?
- Wat is misbruik van PsExec of beheershares, en waarom meldt antivirus het niet?
- Kunnen aanvallers zich met gestolen wachtwoorden en zonder malware door ons netwerk bewegen?
- Moeten we laterale beweging opsporen in authenticatielogs of in netwerkflows?
- Wat is op grafen gebaseerde detectie van laterale beweging?
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen