Wat gebeurt er als aanvallers onze EDR uitschakelen?

Het endpoint valt stil, en de endpointtool kan zijn eigen stilte niet melden, dus u hebt een tweede getuige nodig. Endpointbeveiliging uitschakelen of verwijderen is een veelvoorkomende vroege stap van indringers en ransomwaregroepen, met gestolen beheerrechten of via een kwetsbaar stuurprogramma. Vanaf dat moment toont de console de machine misschien als offline, of komen er gewoon geen gebeurtenissen meer binnen. Twee dingen helpen. Ten eerste: behandel een stille agent als een incident, stel in de EDREDR: endpoint detection and response (endpointbeveiliging). Beveiligingssoftware op elke computer die bekijkt wat er op dat apparaat gebeurt.-console een melding in voor agents die niets meer rapporteren en controleer wie ze mag verwijderen. Ten tweede: bekijk het netwerk, dat de aanvaller vanaf die ene machine niet kan uitzetten. NetSenX blijft het gedrag van de host zien, wat er ook met de EDR gebeurt: beaconing, scans, laterale beweging en ongebruikelijke uploads. De status van de EDR zelf ziet het niet; het vertelt u dus niet dat de agent stopte, maar wel wat de machine daarna doet.

← Alle 40 vragen over NDR, EDR, SIEM, XDR, MDRAlle onderwerpen