Waarom zou een gewone werkplek 's nachts verbinding maken met de domeincontroller?
Het meeste verkeer van werkplekken naar een domeincontroller is onschuldig: aanmeldingen, groepsbeleid, tijdsynchronisatie en naamresolutie lopen de klok rond, ook 's nachts. Niet normaal is een werkplek die een interactieve sessie op afstand naar de domeincontroller opent, zoals remote desktop of beheer op afstand, of de beheershares ervan gebruikt, vooral vanaf de computer van iemand buiten IT en op een uur waarop niemand werkt. Dat is een typische stap voordat een aanvaller de directory overneemt, accounts aanmaakt of overal ransomware uitrolt. Beperk beheertoegang tot domeincontrollers tot een paar speciale beheermachines. NetSenX detecteert zulke nieuwe beheersessies tussen hosts als laterale beweging op elk abonnement en koppelt ze vanaf het Pro-plan aan de scans die er vaak aan voorafgaan.
Lees verder
Gerelateerde vragen
- Wat is ARP-spoofing, en hoe ontdekken we het op een klein kantoornetwerk?
- Kan iemand op onze wifi het verkeer van andere gebruikers lezen?
- Hoeveel tijd hebben we zodra ransomware netwerkshares begint aan te raken?
- Kunnen we zien welk programma op een server een grote upload deed?
- Wat is een supply-chainaanval?
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen