Wat is collection in MITRE ATT&CK?
Collection is de aanvaller die de data verzamelt die hij wil voordat hij die naar buiten brengt: bestanden van shares naar één plek kopiëren, ze in archieven comprimeren, mailboxen lezen, een database exporteren, schermafbeeldingen maken. Vaak zie je het als één host die plotseling veel meer van bestandsservers of databases leest dan ooit, soms 's nachts, gevolgd door een pauze terwijl de archieven worden gemaakt. Auditlogs van bestanden en databases tonen wat er werd gelezen, en endpointtools zien archieven ontstaan. Op het netwerk lijkt het verzamelen op nieuwe sessies van die host naar veel bestandsservers, en de volgende stap, exfiltratie, op ongewoon uitgaand volume vanaf die host. Beperk wie wat mag lezen, vooral serviceaccounts met brede toegang tot bestanden. NetSenX detecteert nieuwe sessies tussen hosts en ongewoon uitgaand datavolume per host op elk abonnement; welke bestanden in versleutelde sessies zijn gelezen, ziet het niet.
Lees verder
Gerelateerde vragen
- Wat is command and control (C2) als ATT&CK-tactiek?
- Wat is de tactiek Impact in MITRE ATT&CK?
- Wat is de cyber kill chain, en hoe verhoudt die zich tot MITRE ATT&CK?
- Hoe kan een klein team MITRE ATT&CK gebruiken om gaten in de detectie te vinden?
- Wat gebeurt er nadat een aanvaller het netwerk is binnengekomen?
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen