Wat is command and control (C2) als ATT&CK-tactiek?
Command and control is de tactiek waarmee aanvallers praten met de systemen die ze hebben gecompromitteerd: commando's sturen, resultaten ontvangen en meer tools afleveren. Technieken zijn onder meer regelmatige contacten via webprotocollen, versleutelde kanalen, legitieme clouddiensten of berichtenplatforms als doorgeefluik, tunnels via DNS of andere protocollen, niet-standaard poorten en proxy's die de echte server verbergen. Omdat het kanaal moet bestaan om de aanvaller te laten handelen, is het een van de betrouwbaarste dingen om te detecteren, ook als de inhoud versleuteld is: timing, bestemming en ritme verraden het. Bekende kwaadaardige bestemmingen blokkeren helpt, maar vangt geen nieuwe. NetSenX detecteert beaconing op elk abonnement en DNS-tunneling, en vergelijkt vanaf het Starter-plan TLSTLS: Transport Layer Security. De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.-handshakes met vingerafdrukken van bekende malware waar de agent pakketten vastlegt, op Linux of als SPANSPAN: switch port analyser (spiegelpoort). Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken./TAPTAP: test access point. Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.-sensor.
Lees verder
Gerelateerde vragen
- Wat is de tactiek Impact in MITRE ATT&CK?
- Wat is de cyber kill chain, en hoe verhoudt die zich tot MITRE ATT&CK?
- Hoe kan een klein team MITRE ATT&CK gebruiken om gaten in de detectie te vinden?
- Wat gebeurt er nadat een aanvaller het netwerk is binnengekomen?
- Kan antivirus of EDR alleen laterale beweging opsporen?
Begrippen op deze pagina
- TLS (Transport Layer Security)
- De versleuteling die het meeste internetverkeer beschermt, zoals HTTPS.
- SPAN (switch port analyser (spiegelpoort))
- Een switchinstelling die een kopie van het verkeer naar één poort stuurt, waar een sensor het kan bekijken.
- TAP (test access point)
- Een klein apparaat dat het verkeer op een netwerkkabel kopieert voor een sensor.
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen