Techniki ataków w prostych słowach
69 pytań o temat: Techniki ataków w prostych słowach, prostym językiem: co sprawdzić, co pokazuje NetSenX i czego czujnik nie widzi.
Ruch lateralny to sposób, w jaki atakujący przechodzi z pierwszej przejętej maszyny na kolejne, zwykle ze skradzionymi poświadczeniami przez usługi zdalne, takie jak SMB, RDP, SSH czy WinRM. MITRE ATT&CK opisuje go jako taktykę TA0008; usługi zdalne to technika T1021.
Szukaj hosta, który łączy się z tym samym celem zewnętrznym w niemal regularnych odstępach, przez całą dobę, wysyłając małe wiadomości podobnej wielkości. Ten wzorzec widać w danych o przepływach i logach firewalla, a także w ruchu szyfrowanym, bo czas, wolumen i cel nie są szyfrowane.
W dużej mierze tak: kto łączy się z kim, na jakim porcie, kiedy i ile danych przesyła, widać bez odszyfrowania. Ukryta pozostaje treść sesji, np. polecenia wysyłane w szyfrowanej sesji zdalnej.
Te, które wytwarzają ruch między maszynami, np. Network Service Discovery (T1046), Remote Services (T1021), Application Layer Protocol (T1071), Encrypted Channel (T1573) i Exfiltration Over C2 Channel (T1041). Techniki, które nie wychodzą poza jeden host, to zadanie narzędzi na urządzeniach końcowych.
Beaconing C2 (command and control) to złośliwe oprogramowanie, które w regularnych odstępach łączy się z serwerem napastnika po polecenia. W sieci wygląda to jak małe połączenia z tym samym celem co kilka minut, w dzień i w nocy, często z niewielkim losowym rozrzutem, by wyglądały mniej regularnie. Ponieważ to wzorzec w czasie, pozostaje widoczny także w ruchu szyfrowanym. Legalne oprogramowanie też wysyła takie sygnały, na przykład agenty aktualizacji, narzędzia monitorujące czy komunikatory, więc liczy się nowy cel, urządzenie, które nie ma powodu go potrzebować, albo rytm, który nigdy się nie zatrzymuje, nawet w nocy. NetSenX wykrywa beaconing w każdym planie, także Free, i wyjaśnia w alercie, które cechy czasu i celu o nim zdecydowały.
Wyprowadzanie danych (eksfiltracja) to kradzież danych przez skopiowanie ich poza Twoją sieć, często do chmury albo na serwer napastnika, zwykle zanim ransomware cokolwiek zaszyfruje. Napastnicy rozkładają je na noce i weekendy albo dzielą na małe transfery, by uniknąć prostych alarmów wolumenowych. Wykrywa się je, porównując ruch wychodzący każdego hosta z jego własną normą: cel, wolumen i porę dnia. Zwracaj szczególną uwagę na wysyłki do usług przechowywania w chmurze lub na adresy, z których nie korzysta żaden inny host, co publiczne komunikaty o grupach ransomware opisują raz po raz. Szyfrowanie ukrywa treść transferu, ale nie jego wolumen, cel ani czas. NetSenX wykrywa nietypowy wolumen danych wychodzących dla każdego hosta, w każdym planie, także Free.
„Living off the land” oznacza, że napastnicy używają narzędzi już obecnych w Twoich systemach, takich jak PowerShell, pulpit zdalny czy narzędzia administracyjne, zamiast własnego złośliwego oprogramowania. Antywirus często ich przepuszcza, bo narzędzia są legalne. Zdradza ich nietypowe użycie, na przykład konto logujące się tam, gdzie nigdy wcześniej, albo stacja robocza otwierająca sesje do wielu serwerów. Pomaga utrzymywanie punktów odniesienia normalnej aktywności, a także ograniczenie tego, kto w ogóle może używać narzędzi administracyjnych. NetSenX wykrywa w sieci nowe sesje między hostami, skanowanie i ruch lateralny, w każdym planie. To, co dzieje się w całości wewnątrz jednego hosta, na przykład skrypt czytający pliki, nigdy nie przechodzi przez sieć i wymaga wykrywania na punktach końcowych.
Często tak, jeśli się komunikuje. Mały komputer albo mostek Wi-Fi ukryty pod biurkiem musi łączyć się z napastnikiem, więc widać go jako host nawiązujący połączenia na zewnątrz, często w regularnych odstępach. Sprawdzaj przełączniki pod kątem nieznanych adresów MAC i tam, gdzie to możliwe, używaj zabezpieczeń portów lub 802.1X. NetSenX widzi ruch hostów w monitorowanych segmentach i wykrywa beaconing oraz nietypowe połączenia; urządzenie, które milczy albo stoi w segmencie, którego nie monitorujesz, pozostaje niewidoczne.
MITRE ATT&CK to bezpłatna, publiczna baza wiedzy o taktykach i technikach używanych przez napastników, tworzona przez organizację non-profit MITRE na podstawie prawdziwych incydentów i aktualizowana dwa razy w roku. Taktyki to cele napastnika, takie jak uzyskanie dostępu, rozpoznanie czy wyprowadzanie danych; techniki to sposoby ich osiągnięcia, każda z identyfikatorem, na przykład T1021 dla usług zdalnych. Obrońcy używają jej jako wspólnego języka: do opisu alertu, porównania narzędzi i sprawdzenia, które techniki obejmują ich zabezpieczenia, a których nie. To nie jest lista do odhaczenia i żaden produkt nie obejmuje wszystkich technik. NetSenX podaje w alercie technikę ATT&CK, jeśli wykrycie jej odpowiada, i pokazuje w widoku pokrycia, które techniki obejmują Twoje włączone detekcje.
Opisują atak na trzech poziomach szczegółowości. Taktyka to cel napastnika w danym momencie, czyli odpowiedź na pytanie „po co”: ruch lateralny oznacza na przykład przejście z jednej maszyny na inne. Technika to sposób osiągnięcia celu, na przykład użycie usług zdalnych, a podtechnika zawęża go dalej, na przykład do pulpitu zdalnego albo udziałów administracyjnych SMB. Procedura to konkretny sposób działania danej grupy: jakie narzędzie, jakie polecenie, w jakiej kolejności. Razem nazywa się je TTP. Rozróżnienie ma znaczenie dla obrony: zablokowanie procedury, na przykład skrótu pliku jednego narzędzia, łatwo obejść, a wykrycie techniki, na przykład stacji roboczej nagle otwierającej sesje administracyjne do wielu serwerów, działa niezależnie od użytego narzędzia. Wykrywanie sieciowe działa głównie na poziomie technik, dlatego alerty NetSenX nazywają techniki, a nie narzędzia.
Rozpoznanie to zbieranie przez napastnika informacji, zanim zacznie działać. W MITRE ATT&CK to pierwsza taktyka i obejmuje to, co dzieje się poza Twoją siecią: skanowanie Twoich publicznych adresów IP w poszukiwaniu otwartych usług, zbieranie nazwisk pracowników i formatów adresów e-mail ze strony internetowej i mediów społecznościowych, sprawdzanie Twoich dostawców i szukanie wyciekłych haseł. Wiele z tego jest dla Ciebie niewidoczne, bo korzysta z publicznych źródeł. Możesz natomiast ograniczyć to, co napastnik znajdzie: zamknąć nieużywane usługi wystawione do internetu, ograniczyć do minimum publiczne szczegóły o swojej infrastrukturze IT i sprawdzić, czy firmowe adresy pojawiają się w znanych wyciekach. Skanowanie Twoich publicznych adresów widać w logach firewalla, choć w internecie to nieustanny szum tła. Po wejściu do środka napastnicy przeprowadzają drugą rundę rozpoznania, która jest osobną taktyką i którą znacznie łatwiej zobaczyć z poziomu sieci.
Przygotowanie zasobów to przygotowywanie przez napastnika narzędzi i infrastruktury do ataku: wynajmowanie serwerów, rejestrowanie łudząco podobnych domen, kupowanie lub kradzież kont, zdobywanie złośliwego oprogramowania lub certyfikatów do podpisywania kodu albo kupno dostępu do ofiary od brokera dostępu. Dzieje się to po stronie napastnika, zanim cokolwiek do Ciebie dotrze, więc bezpośrednio niewiele da się wykryć. Jego ślady pojawiają się później i to się przydaje: domena zarejestrowana w zeszłym tygodniu, przypominająca domenę Twojego dostawcy, cel na świeżo wynajętych serwerach w chmurze, certyfikat wystawiony kilka dni przed połączeniem. Taką infrastrukturę publikują źródła threat intelligence i komunikaty bezpieczeństwa. Zarejestruj typowe literówki własnej domeny i skonfiguruj DMARC, by Twoją nazwę trudniej było nadużyć. NetSenX nie obserwuje, jak napastnicy budują infrastrukturę; widzi, jak Twoje hosty się z nią łączą, na przykład beaconing do nowego zewnętrznego serwera.
Uzyskanie dostępu początkowego to taktyka zdobycia pierwszego przyczółka w Twojej sieci. Typowe drogi wejścia to phishing, który skłania kogoś do uruchomienia pliku lub wpisania hasła, wykorzystanie podatności w systemie wystawionym do internetu, takim jak brama VPN czy firewall, logowanie do usług zdalnych skradzionymi lub odgadniętymi hasłami, nadużycie dostępu dostawcy oraz pobrania typu drive-by z przejętych stron internetowych. Komunikaty CISA o ransomware wymieniają te drogi raz po raz. Większość zabezpieczeń leży poza sensorem sieciowym: łatanie w pierwszej kolejności urządzeń wystawionych do internetu, uwierzytelnianie wieloskładnikowe (MFA) przy każdym zdalnym logowaniu, filtrowanie poczty i zamykanie zbędnych usług. Samo uzyskanie dostępu jest w sieci często widoczne tylko częściowo, ale to, co następuje potem, zwykle tak: przejęta maszyna łączy się z serwerem napastnika. NetSenX wykrywa taki beaconing w każdym planie, także Free.
Wykonanie to taktyka uruchomienia kodu napastnika w systemie: makra w dokumencie, skryptu uruchomionego przez oszukanego użytkownika, polecenia wysłanego przez narzędzie zdalnej administracji albo zaplanowanego zadania. Dzieje się to wewnątrz hosta, więc tam leży też główna obrona: system EDR (endpoint detection and response), białe listy aplikacji, blokowanie makr w plikach z internetu i ograniczenie narzędzi skryptowych dla zwykłych użytkowników. Sensor sieciowy nie widzi startu procesu. Widzi skutki, które przechodzą przez sieć, i to często wystarcza, by podnieść alarm: nowy program pobiera kolejny etap, potem regularnie łączy się z serwerem albo maszyna zaczyna skanować sąsiadów. NetSenX wykrywa to w każdym planie; nie powie Ci, który program na hoście to zrobił, bo to pytanie do narzędzi ochrony punktów końcowych.
Utrzymanie dostępu to sposób, w jaki napastnicy zachowują dostęp mimo restartów, zmian haseł i sprzątania: nowe konta, zaplanowane zadania i usługi, narzędzia zdalnego dostępu zainstalowane tak, jakby były legalne, web shelle na serwerach wystawionych do internetu, zmienione ustawienia VPN lub firewalla oraz skradzione tokeny sesji do usług chmurowych. Większość mechanizmów utrzymania dostępu żyje na hostach i w systemach tożsamości, więc znajduje się je narzędziami ochrony punktów końcowych, przeglądami katalogu i porównywaniem konfiguracji. Regularnie sprawdzaj, czy nie ma kont administratora, których nikt nie umie wyjaśnić, oprogramowania zdalnego dostępu, którego nikt nie zatwierdził, i reguł przekierowania w skrzynkach pocztowych. Utrzymanie dostępu zwykle wymaga połączenia zwrotnego do napastnika, a to widać w sieci: host, który wciąż łączy się z tym samym zewnętrznym serwerem, nawet tygodnie po zamknięciu incydentu. NetSenX wykrywa taki beaconing w każdym planie.
Eskalacja uprawnień to zamiana przez napastnika ograniczonego dostępu w większą władzę: od zwykłego użytkownika do lokalnego administratora, a stamtąd do administratora domeny lub chmury. Wykorzystuje niezałatane podatności, źle skonfigurowane usługi, hasła zapisane w skryptach lub przeglądarkach i konta, które mają więcej uprawnień, niż wymaga ich praca. Dzieje się to głównie wewnątrz hostów i katalogu, więc zapobieganie to łatanie, odebranie codziennym kontom lokalnych uprawnień administratora, osobne konta administracyjne używane wyłącznie do administracji i regularne przeglądy członkostwa w grupach uprzywilejowanych. Sensor sieciowy niewiele widzi z samej eskalacji. Widzi to, co napastnik robi z nowymi uprawnieniami, a to zwykle angażuje sieć: sesje do kontrolera domeny, połączenia administracyjne do wielu serwerów, dostęp do kopii zapasowych. NetSenX wykrywa ten ruch lateralny w każdym planie, także Free.
Stealth to taktyka ukrywania złośliwej aktywności lub nadawania jej pozorów normalności. Od wersji 19 MITRE ATT&CK, wydanej w kwietniu 2026 roku, przejmuje ona dużą część dawnej taktyki Defense Evasion, którą podzielono na Stealth i Defense Impairment. Stealth obejmuje techniki takie jak podszywanie się pod legalne pliki lub usługi, ukrywanie artefaktów i zaciemnianie plików, by umknęły narzędziom i ludziom. Narzędzia oparte na sygnaturach mają tu trudności, bo każdy element z osobna wygląda zwyczajnie. Widoczne pozostaje zachowanie niepasujące do historii hosta: regularny rytm połączeń z nowym celem albo stacja robocza, która nagle komunikuje się z wieloma serwerami. Jeśli mapujesz detekcje na ATT&CK, zaktualizuj odwołania do Defense Evasion. NetSenX szuka takich zachowań z poziomu sieci w każdym planie; nigdy nie odszyfrowuje ruchu, więc ocenia wzorce, a nie treść.
Defense Impairment to taktyka wyłączania, osłabiania lub zakłócania zabezpieczeń. MITRE ATT&CK wprowadziło ją w wersji 19, w kwietniu 2026 roku, dzieląc dawną taktykę Defense Evasion na Stealth i Defense Impairment. Typowe przykłady to wyłączanie antywirusa lub agentów ochrony punktów końcowych, zatrzymywanie lub czyszczenie logów i zmiana reguł firewalla, by przepuszczały ruch napastnika. Na hoście obroną jest ochrona narzędzi bezpieczeństwa przed modyfikacją, alert, gdy agent przestaje raportować, i uprawnienia administratora ograniczone do nielicznych osób. Sieć daje niezależne spojrzenie: serwer, którego agent ochrony zamilkł, wciąż musi korzystać z sieci, a NetSenX dalej obserwuje jego zachowanie, takie jak beaconing, skanowanie i wysyłki danych, w każdym planie. Nie widzi samego stanu agenta; pokazuje go konsola ochrony punktów końcowych i warto ją sprawdzać codziennie.
Kradzież poświadczeń to taktyka zdobywania haseł, skrótów, biletów i tokenów, by napastnik mógł logować się jako ktoś uprawniony. Typowe techniki to zrzucanie poświadczeń z pamięci komputera, odczytywanie haseł zapisanych w przeglądarkach lub skryptach, zgadywanie lub rozpylanie haseł (password spraying) na usługach logowania, przechwytywanie ich w sieci sztuczkami typu adversary-in-the-middle i pobieranie biletów usług do złamania offline. Obroną jest uwierzytelnianie wieloskładnikowe (MFA), długie unikalne hasła kont serwisowych, mniej logowań administratorów na zwykłych stacjach roboczych i ochrona punktów końcowych przed zrzutem pamięci. Część tego widać w sieci, na przykład wiele nieudanych połączeń z jednego hosta do usług logowania albo sztuczki z ARP w segmencie; większość dzieje się na hostach i w katalogu. NetSenX widzi stronę sieciową, a przede wszystkim to, do czego skradzione poświadczenia są potem używane: nowe sesje między hostami.
Discovery to napastnik, który jest już w środku i ustala, co zawiera Twoja sieć: jakie hosty istnieją, jakie usługi oferują, w których udziałach są pliki, kto jest administratorem i gdzie leżą kopie zapasowe. Typowe techniki to skanowanie wewnętrznych zakresów adresów, wyliczanie udziałów sieciowych, odpytywanie katalogu i odczyt konfiguracji maszyny, na której się znajduje. W przeciwieństwie do rozpoznania z zewnątrz rozpoznanie wewnętrzne przechodzi przez Twoją sieć, co czyni je jednym z najbardziej widocznych etapów: jeden host nagle łączy się z wieloma adresami wewnętrznymi na portach SMB, RDP lub baz danych. Zapytania do katalogu widać raczej w logach tożsamości niż w sensorze przepływów. Segmentacja ogranicza zasięg rozpoznania. NetSenX wykrywa skanowanie wewnętrzne w każdym planie, także Free, a od planu Pro łączy je z sesjami, które następują potem.
Collection to zbieranie przez napastnika danych, których chce, zanim je wyprowadzi: kopiowanie plików z udziałów w jedno miejsce, pakowanie ich w archiwa, czytanie skrzynek pocztowych, eksport bazy danych, robienie zrzutów ekranu. Często objawia się jako jeden host, który nagle czyta z serwerów plików lub baz danych znacznie więcej niż kiedykolwiek, czasem w nocy, po czym następuje przerwa na tworzenie archiwów. Logi audytowe plików i baz danych pokazują, co odczytano, a narzędzia ochrony punktów końcowych widzą tworzenie archiwów. W sieci gromadzenie wygląda jak nowe sesje z tego hosta do wielu serwerów plików, a kolejny krok, wyprowadzanie danych, jak nietypowy wolumen wychodzący z niego. Ogranicz, kto co może czytać, zwłaszcza konta serwisowe z szerokim dostępem do plików. NetSenX wykrywa nowe sesje między hostami i nietypowy wolumen danych wychodzących dla każdego hosta w każdym planie; nie widzi, które pliki odczytano w szyfrowanych sesjach.
Dowodzenie i kontrola to taktyka, za pomocą której napastnicy komunikują się z przejętymi systemami: wysyłają polecenia, odbierają wyniki i dostarczają kolejne narzędzia. Techniki obejmują regularne połączenia przez protokoły webowe, szyfrowane kanały, legalne usługi chmurowe lub komunikatory używane jako przekaźniki, tunelowanie przez DNS lub inne protokoły, niestandardowe porty oraz serwery proxy ukrywające prawdziwy serwer. Ponieważ kanał musi istnieć, by napastnik mógł działać, to jedna z najpewniej wykrywalnych rzeczy, nawet gdy treść jest szyfrowana: zdradzają ją czas, cel i rytm. Blokowanie znanych złych celów pomaga, ale nie wyłapuje nowych. NetSenX wykrywa beaconing w każdym planie oraz tunelowanie DNS, a od planu Starter porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPAN/TAP.
Impact to ujawniony cel końcowy napastnika: szyfrowanie danych dla okupu, wymazywanie systemów, zatrzymywanie usług, niszczenie kopii zapasowych, podmiana stron internetowych albo manipulowanie danymi i procesami przemysłowymi. W ATT&CK obejmuje też utrudnianie odtwarzania, na przykład usuwanie kopii w tle (shadow copies) i katalogów kopii zapasowych. Na tym etapie powstrzymanie jest pilne, a dowody są zagrożone. Zapobieganie leży wcześniej: kopie offline, do których napastnik nie sięgnie, rozdzielenie IT od produkcji i alerty o krokach poprzedzających. Samo szyfrowanie dzieje się na hostach; gdy obejmuje udziały sieciowe, jeden klient w krótkim czasie czyta i nadpisuje duże ilości danych. NetSenX nie ma dedykowanej detekcji etapu szyfrowania i go nie zatrzymuje; obserwuje etapy wcześniejsze, takie jak beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący, w każdym planie.
Cyber kill chain to model opublikowany przez Lockheed Martin w 2011 roku, który opisuje włamanie w siedmiu etapach: rozpoznanie, uzbrojenie, dostarczenie, wykorzystanie podatności, instalacja, dowodzenie i kontrola oraz działania na celu. Jego przesłanie brzmi: napastnik musi odnieść sukces na każdym etapie, a obrońcy wystarczy przerwać jeden. MITRE ATT&CK jest bardziej szczegółowy i lepiej opisuje to, co dzieje się po zdobyciu pierwszego przyczółka, z wieloma taktykami i setkami technik, dlatego większość zespołów używa kill chain do wyjaśniania ataku zarządowi, a ATT&CK do planowania wykrywania. Oba prowadzą do tego samego praktycznego wniosku: atak składa się z kroków, a każdy krok to szansa, by go zauważyć. W małej firmie to późniejsze etapy, czyli dowodzenie i kontrola, ruch wewnątrz sieci i wyprowadzanie danych, są miejscem, w którym wykrywanie sieciowe, takie jak NetSenX, wnosi najwięcej.
Zacznij od ataków, z którymi najprawdopodobniej się zetkniesz, a nie od całej macierzy. Weź dwa lub trzy niedawne publiczne komunikaty pasujące do Twojej branży, na przykład komunikat CISA o grupie ransomware, wypisz wymienione w nich techniki i przy każdej zapytaj: czy byśmy jej zapobiegli, czy byśmy ją zobaczyli i gdzie? Zaznacz odpowiedź dla każdej techniki: punkt końcowy, tożsamość, poczta, sieć albo nic. Luki, które mają znaczenie, to kroki, przy których każda odpowiedź brzmi „nic”. Potem przetestuj jedną lub dwie prostym ćwiczeniem, zamiast ufać tabeli. Nie dąż do pełnego pokrycia; dąż do co najmniej jednego pewnego sygnału na każdym etapie typowego ataku. NetSenX podaje w alertach technikę ATT&CK, jeśli ma zastosowanie, i pokazuje w widoku pokrycia, które techniki obejmują Twoje włączone detekcje, co wypełnia kolumnę „sieć” w tym ćwiczeniu.
Zwykle ta sama sekwencja. Napastnik zabezpiecza przyczółek, by przetrwał restart, łączy się z własnym serwerem po polecenia, rozgląda się, by poznać zawartość sieci, kradnie lub podnosi uprawnienia, przenosi się do cenniejszych systemów, takich jak serwery plików, kontroler domeny i serwer kopii zapasowych, zbiera dane, wysyła je na zewnątrz i dopiero wtedy, w przypadku ransomware, szyfruje. Niektóre kroki trwają minuty, inne tygodnie. Większość z nich przechodzi przez sieć: regularne połączenia z nowym zewnętrznym serwerem, jeden host skanujący zakresy wewnętrzne, nowe sesje administracyjne między maszynami, nietypowe wysyłki danych. Dlatego wykrywanie sieciowe jest cenne po zdobyciu pierwszego przyczółka, nawet gdy samo wejście było niewidoczne. NetSenX wykrywa beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących w każdym planie, także Free, w monitorowanych segmentach.
Częściowo. System EDR (endpoint detection and response) widzi, co dzieje się na każdej maszynie, na której działa, na przykład uruchomienie narzędzia zdalnej administracji lub zrzut poświadczeń, i dobry EDR wyłapuje w ten sposób sporo ruchu lateralnego. Umykają mu hosty bez agenta, takie jak drukarki, kamery, urządzenia sieciowe i niezarządzane serwery, agenty wyłączone przez napastników oraz ruch z użyciem legalnych narzędzi i prawidłowych haseł, który na każdej pojedynczej maszynie wygląda normalnie. Sieć widzi relacje między hostami: stację roboczą, która nagle otwiera sesje administracyjne do serwerów, z których nigdy nie korzystała. Dlatego oba podejścia działają najlepiej razem. NetSenX wykrywa ruch lateralny i skanowanie w każdym planie, także Free, a od planu Pro koreluje hosty w jedną historię; nie widzi, co działa wewnątrz hosta, i to pozostaje zadaniem EDR.
Bo nic nie powstrzymuje napastnika, który się do niej dostanie, przed dotarciem wszędzie. W płaskiej sieci każdy komputer, drukarka i serwer są w tym samym segmencie i mogą łączyć się ze wszystkimi innymi, więc jeden zainfekowany laptop sięga bezpośrednio serwera plików, serwera kopii zapasowych, systemu księgowego i maszyn produkcyjnych. Segmentacja dzieli sieć na strefy, na przykład stacje robocze, serwery, kopie zapasowe, goście, drukarki i kamery oraz produkcja, z regułami firewalla, które dopuszczają tylko połączenia potrzebne każdej strefie. Nie musi być doskonała, by pomóc: oddzielenie kopii zapasowych i najważniejszych serwerów od zwykłych stacji roboczych już blokuje najgroźniejsze ścieżki. Płaska sieć utrudnia też wykrywanie, bo wszystko rozmawia ze wszystkim. Mapa sieci NetSenX, w każdym planie, pokazuje, kto faktycznie z kim się komunikuje, co jest dobrym punktem wyjścia do wyznaczenia stref.
Bo zachowują się tak samo: łączą się z serwerem w regularnych odstępach, w dzień i w nocy, by sprawdzić aktualizacje, zgłosić stan lub pobrać konfigurację. Robią tak agenty kopii zapasowych, antywirusy, narzędzia zdalnego zarządzania, synchronizacja czasu i wiele aplikacji biznesowych. Dlatego proste reguły oparte wyłącznie na regularności dają dużo szumu. Złośliwe oprogramowanie odróżnia kontekst: cel, z którego nikt inny w firmie nie korzysta, niedawno zarejestrowana domena lub wynajęty serwer, urządzenie, które nie ma powodu uruchamiać takiego oprogramowania, rytm, który zaczął się konkretnego dnia, albo ruch niepasujący do programu, który host ma uruchamiać. NetSenX ocenia beaconing względem własnej historii każdego hosta i jego celu, wyjaśnia każdy alert i pozwala oznaczyć znane oprogramowanie jako false positive, a decyzja trafia do dziennika audytu.
Tunelowanie DNS to ukrywanie danych lub poleceń w zapytaniach DNS, czyli w zapytaniach, które każde urządzenie wysyła, by zamienić nazwy na adresy. Ponieważ prawie każda sieć przepuszcza DNS, napastnicy używają go jako kanału: dane są kodowane w długich, losowo wyglądających subdomenach domeny, którą kontrolują, a ich serwer nazw odpowiada poleceniami. To wolne, ale przechodzi przez firewalle, które blokują wszystko inne, i służy zarówno do dowodzenia i kontroli, jak i do kradzieży danych małymi porcjami. Oznaki to wiele unikalnych, długich subdomen jednej domeny, nietypowe typy rekordów, takie jak TXT, i host wysyłający znacznie więcej zapytań DNS niż zwykle. Wymuszenie korzystania przez wszystkie urządzenia z Twoich własnych resolverów i logowanie ich zapytań czyni to widocznym. NetSenX wykrywa tunelowanie DNS; nie widzi zapytań, które urządzenia wysyłają w postaci zaszyfrowanej do resolverów poza Twoją siecią.
Tak, jeśli nikt nie przygląda się DNS. Dane wychodzące w zapytaniach DNS nie wyglądają jak duża wysyłka, bo każde zapytanie niesie tylko kilkadziesiąt bajtów, a wiele firewalli przepuszcza DNS bez kontroli. Widać je we wzorcu: jeden host wysyła tysiące zapytań o subdomeny tej samej nieznanej domeny, z długimi, losowo wyglądającymi nazwami, które nigdy się nie powtarzają, często w stałym tempie. By to zobaczyć, pozwól urządzeniom korzystać wyłącznie z Twoich resolverów DNS, zablokuj na firewallu bezpośredni DNS do internetu, przechowuj logi resolverów i przeglądaj domeny z nietypowo wieloma unikalnymi subdomenami. Usługi filtrowania DNS dodają listy znanych domen tunelujących. NetSenX wykrywa tunelowanie DNS w monitorowanych segmentach; inne techniki oparte na DNS, takie jak domeny generowane algorytmicznie, nie należą dziś do tego, o czym alarmuje.
Może, a widoczność spada. DNS over HTTPS (DoH) wysyła zapytania o nazwy w zwykłym szyfrowanym ruchu webowym do resolvera, często publicznego, więc Twój serwer DNS i jego logi ich nie widzą. Przeglądarki i niektóre systemy operacyjne mogą włączyć to same, a złośliwe oprogramowanie może tak ukryć zarówno swoje zapytania, jak i tunelowane dane. Co wciąż możesz zrobić: skonfigurować politykami przeglądarki i urządzenia tak, by używały Twojego resolvera, zablokować na firewallu znane publiczne resolvery DoH, jeśli pasuje to do Twojego środowiska, i sprawdzić każde urządzenie, które wysyła stały szyfrowany ruch do resolvera DoH, ignorując Twój serwer DNS. Sensor sieciowy widzi połączenie z resolverem, jego czas i wolumen, ale nie nazwy w środku. NetSenX nigdy nie odszyfrowuje ruchu, więc nie odczyta zapytań DoH; nadal może jednak wykryć wzorzec beaconingu.
Powolne wyprowadzanie danych to kradzież małymi porcjami przez długi czas, tak by żaden pojedynczy transfer nie wyglądał nietypowo: kilkaset megabajtów w każdej przerwie obiadowej przez miesiąc albo stała strużka w nocy, często do usługi przechowywania w chmurze, z której wiele osób korzysta legalnie. Proste alarmy przepustowości tego nie wychwytują, bo szukają skoków. Wykrywa się to, porównując każdy host z jego własną historią z dni i tygodni: serwer, który nigdy nie wysyłał danych w porze obiadowej, teraz robi to codziennie, albo stacja robocza wysyła trochę danych do tego samego nowego celu o tej samej godzinie. Logi chmury i proxy mogą pokazać to dla każdego użytkownika. Patrz na łączną ilość wysłaną przez host do danego celu w skali tygodnia, nie tylko godziny. NetSenX ocenia wolumen wychodzący względem typowych celów, wolumenów i pór dnia każdego hosta, w każdym planie.
Bo zadają złe pytanie. Alarm przepustowości pyta, czy łącze jest bardziej obciążone niż stały limit; kradzież danych zwykle jest zaplanowana tak, by pozostać poniżej niego. Napastnicy wysyłają dane porcjami, w nocy albo w godzinach szczytu, gdy kilkaset megabajtów ginie wśród kopii zapasowych i wideokonferencji, i do usług chmurowych, z których korzystają też Twoi pracownicy, więc listy celów również ich nie wyłapią. Stały limit włącza się też przy każdym dużym legalnym transferze, więc ludzie przestają czytać alarmy. Właściwe pytanie dotyczy każdego hosta: czy ta maszyna wysyła więcej, do innego celu albo o innej porze niż zwykle? To wymaga punktu odniesienia dla każdego hosta, a nie dla łącza. NetSenX utrzymuje taki punkt odniesienia i wykrywa nietypowy wolumen danych wychodzących dla każdego hosta w każdym planie, także Free.
Cobalt Strike to komercyjne narzędzie do autoryzowanych ćwiczeń red team, które przestępcy masowo nadużywają, często w złamanych wersjach, do kontroli przejętych maszyn. W sieci jego implant, zwany beaconem, łączy się z serwerem zespołu w skonfigurowanych odstępach, zwykle przez HTTPS, czasem przez DNS albo między hostami wewnętrznymi przez SMB. Oznaki to regularne połączenia z rozrzutem do celu, z którego nikt inny nie korzysta, domyślne lub ledwie zmienione ustawienia w żądaniach webowych i certyfikatach, odciski klienta TLS zgodne z opublikowanymi dla znanych konfiguracji oraz połączenia SMB między stacjami roboczymi, które zwykle ze sobą nie rozmawiają. Wielu operatorów zmienia konfigurację właśnie po to, by uniknąć tych oznak, więc zachowanie liczy się bardziej niż wskaźniki. NetSenX wykrywa beaconing i ruch lateralny w każdym planie, a od planu Starter porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPAN/TAP.
Często tak, chyba że wiesz, kto skanuje. W sieci firmowej działa kilka legalnych skanerów, na przykład skaner podatności, narzędzie inwentaryzacyjne, system zarządzania siecią albo sterownik drukarki szukający urządzeń, i powinny być znane, zaplanowane i opisane. Zwykła stacja robocza, drukarka czy kamera, która nagle łączy się w krótkim czasie z wieloma adresami wewnętrznymi lub wieloma portami, to inna sprawa: to jeden z najwyraźniejszych znaków, że ktoś po wejściu mapuje sieć, i zwykle pojawia się wcześnie, przed właściwymi szkodami. Prowadź listę zatwierdzonych skanerów i ich adresów, by każdy alert dało się sprawdzić w kilka sekund, a wszystko inne badaj tego samego dnia. NetSenX wykrywa skanowanie w każdym planie, także Free, również z urządzeń bez agenta, gdy obserwuje je z portu SPAN lub TAP.
Szukaj w dwóch miejscach: w logach celu i we wzorcu ruchu w sieci. Logi celu, na serwerze plików, hoście pulpitu zdalnego, serwerze SSH czy kontrolerze domeny, pokazują same nieudane logowania i próbowane nazwy kont; wiele niepowodzeń dla wielu kont z jednego źródła to password spraying, wiele dla jednego konta to brute force. Sieć pokazuje źródło: jeden host, który wielokrotnie nawiązuje krótkie połączenia z usługą logowania, często na kilku serwerach. Brute force na pulpit zdalny lub SSH wewnątrz sieci LAN nie jest normalny; oznacza przejętą maszynę albo nieautoryzowany test. Blokuj lub spowalniaj powtarzające się niepowodzenia, wymagaj uwierzytelniania wieloskładnikowego (MFA), gdzie się da, i zbadaj host źródłowy. NetSenX widzi powtarzające się połączenia między hostami w monitorowanych segmentach i wykrywa skanowanie oraz ruch lateralny, które zwykle im towarzyszą; liczba nieudanych logowań jest w logu serwera.
Porównuj ruch wychodzący każdego serwera z jego własną normą i uważnie przyglądaj się celom w usługach przechowywania w chmurze. Wiele serwerów nigdy nie musi wysyłać dużo do internetu, więc serwer baz danych lub plików wysyłający gigabajty do usługi udostępniania plików lub przechowywania w chmurze jest nietypowy sam w sobie; komunikaty o ransomware opisują narzędzia takie jak Rclone używane właśnie w ten sposób przed szyfrowaniem. Kroki praktyczne: ogranicz, które serwery w ogóle mogą łączyć się z internetem, loguj połączenia wychodzące na firewallu lub proxy i co tydzień przeglądaj wolumeny wysyłane przez poszczególne serwery do chmury. Jeśli oficjalnie korzystasz z usługi chmurowej, rozdziel na proxy jej legalne cele od kont prywatnych, jeśli się da. NetSenX wykrywa nietypowy wolumen danych wychodzących dla każdego hosta, z celem i czasem, w każdym planie; nie widzi treści szyfrowanych wysyłek ani tego, na które konto trafiły.
Powiązane pytania
Tak, i to częste. Z prawidłowymi poświadczeniami napastnik może logować się do pulpitu zdalnego, VPN, SSH, udziałów plikowych i usług chmurowych jak każdy pracownik i używać zainstalowanych już narzędzi administracyjnych. Antywirus nie ma czego wykryć, bo nie ma złośliwego pliku, a każde pojedyncze logowanie może wyglądać normalnie. Zdradza go wzorzec: konto logujące się z komputera, z którego nigdy nie korzystało, o nietypowej porze, do wielu systemów w krótkim czasie; stacja robocza, która nagle rozmawia z serwerami; konto serwisowe używane interaktywnie. Główną obroną są uwierzytelnianie wieloskładnikowe (MFA), osobne konta administratorów i ograniczenia, które maszyny mogą łączyć się z którymi. NetSenX widzi stronę sieciową tego zjawiska, nowe sesje między hostami i skanowanie, w każdym planie; nie widzi zdarzeń logowania w Twoim katalogu, które pokazują logi tożsamości.
W obu, bo każde źródło widzi to, czego nie widzi drugie. Logi uwierzytelniania z katalogu, serwerów i VPN pokazują, które konto gdzie się zalogowało, jaką metodą i czy próba się nie powiodła; to najlepsze źródło do wykrywania skradzionych poświadczeń, ale tylko dla systemów, które logują, przechowują logi i wysyłają je tam, gdzie ktoś je czyta. Przepływy sieciowe pokazują, który host połączył się z którym, na jakim porcie, jak często i ile danych przesłał, dla każdego urządzenia w monitorowanym segmencie, także tych, które nie prowadzą logów: drukarek, urządzeń sieciowych, niezarządzanych serwerów. Nie pokazują nazw kont. W praktyce nowa sesja między dwoma hostami, które nigdy ze sobą nie rozmawiały, to sygnał sieciowy, a konto za nią to pytanie z obszaru tożsamości. NetSenX obejmuje stronę sieciową w każdym planie; połącz go z logami logowania z katalogu lub z systemem SIEM, do którego NetSenX potrafi eksportować od planu Business.
Wykrywanie oparte na grafie traktuje sieć jak mapę tego, kto z kim się komunikuje: każdy host to punkt, każde połączenie to linia, a mapę porównuje się w czasie z jej zwykłym kształtem. Ruch lateralny pojawia się jako nowe linie, które nie pasują, na przykład stacja robocza nagle połączona z kilkoma serwerami, łańcuch przeskoków z jednej maszyny na następną albo grupa hostów łączących się z tym samym nowym adresem zewnętrznym. Zaletą jest kontekst: pojedyncze nowe połączenie może być niegroźne, ale nowa ścieżka z laptopa użytkownika przez serwer plików do serwera kopii zapasowych już nie. To podejście od lat jest przedmiotem badań naukowych. Od planu Pro NetSenX koreluje hosty w taki graf, dzięki czemu skanowanie, po którym następują nowe sesje zdalne, albo kilka hostów wysyłających beaconing do jednego celu pojawia się jako jedna historia, a nie rozproszone alerty.
Często tak, z samej konstrukcji. Reguła opisuje coś już znanego: skrót pliku, domenę, sekwencję zdarzeń, którą ktoś już widział. Jest precyzyjna i tania, dobrze działa przeciwko masowemu złośliwemu oprogramowaniu. Zawodzi, gdy napastnicy zmienią szczegół, użyją legalnych narzędzi albo pójdą przez Twoją sieć ścieżką, dla której nikt nie napisał reguły, na przykład przez nowy serwer, zapomniane konto dostawcy czy nietypowy łańcuch przeskoków. Wykrywanie behawioralne zadaje inne pytanie: czy ten host robi coś, czego wcześniej nie robił, w porównaniu z własną historią i podobnymi hostami? Wyłapuje nowe ścieżki, ale potrzebuje czasu, by poznać normę, a jego alerty wymagają oceny. Dojrzałe środowiska łączą oba podejścia. NetSenX wykrywa zachowania w sieci, takie jak beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący, i wyjaśnia każdy alert, by dało się odróżnić nową ścieżkę ataku od nowego procesu biznesowego.
Drukarka, która nagle w ciągu kilku minut łączy się z setkami adresów wewnętrznych, jest albo źle skonfigurowana, albo przejęta. Niektóre drukarki i ich sterowniki legalnie szukają urządzeń lub folderów docelowych skanowania, ale taki wzorzec jest regularny i ograniczony; mapowanie całych zakresów adresów już nie. Drukarki działają na pełnych systemach operacyjnych, często ze starym firmware'em, domyślnymi hasłami, interfejsami WWW i zapisanymi książkami adresowymi, więc napastnik może przejąć jedną z nich i używać jej jako cichej bazy do skanowania, przekazywania połączeń lub przechowywania narzędzi, wiedząc, że nikt nie przegląda jej logów. Zaktualizuj firmware, zmień domyślne hasło, wyłącz zbędne usługi i umieść drukarki we własnym segmencie, który sięga serwera wydruku, ale nie każdego komputera. NetSenX wykrywa skanowanie w każdym planie, z portu SPAN lub TAP, bez żadnego oprogramowania na drukarce.
Najpierw go powstrzymując, potem usuwając, w jednym skoordynowanym ruchu. Ustal po cichu jak najwięcej: które hosty i konta są zaangażowane, jak napastnik wchodzi i wychodzi i gdzie są jego narzędzia. Potem działaj jednocześnie: odizoluj zaatakowane hosty na przełączniku lub firewallu, zablokuj ich zewnętrzne cele, wyłącz lub zresetuj przejęte konta z czystego urządzenia i zamknij drogę wejścia, na przykład konto VPN lub wystawioną usługę. Działanie po kawałku ostrzega napastnika, który może przenieść się na inne hosty albo zacząć niszczyć systemy. Wezwij firmę reagującą na incydenty, jeśli jeszcze tego nie zrobiłeś, i prowadź dziennik. Po powstrzymaniu odbuduj zaatakowane maszyny i uważnie obserwuj sieć przez kolejne tygodnie. NetSenX nie usuwa napastników; pokazuje z poziomu sieci, które hosty są zaangażowane i dokąd się łączą, czyli to, czego potrzebuje plan powstrzymania, a potem wykrywa ponowną aktywność.
Czasem w ciągu godziny, czasem przez tygodnie. Grupy używające zautomatyzowanych narzędzi i skradzionych haseł administratorów potrafią bardzo szybko dotrzeć do serwerów po zdobyciu przyczółka, inne czekają, rozpoznają i kopiują dane, zanim zaczną działać. Producenci rozwiązań bezpieczeństwa publikują pomiary tak zwanego breakout time, ale opisują one ich własnych klientów i metody, więc do każdej pojedynczej liczby podchodź ostrożnie. Praktyczny wniosek jest zawsze ten sam: zakładaj, że po pierwszym sygnale możesz mieć mało czasu. Ustal z góry, kto może w nocy odizolować host, upewnij się, że alerty trafiają do osoby, która je czyta, i utrzymuj segmentację między stacjami roboczymi a serwerami, by ścieżka napastnika była dłuższa. NetSenX wykrywa kroki, które zwykle następują po zdobyciu przyczółka, czyli beaconing, skanowanie i ruch lateralny, w każdym planie, i stąd bierze się czas na reakcję.
Szukaj oznak na komputerze i w sieci, a ryzyko ograniczaj tak czy inaczej. Na komputerze: nieoczekiwane narzędzia zdalnego dostępu, okienka proszące o ponowne wpisanie danych bankowych, rozszerzenia przeglądarki, których nie instalowałeś, wyłączone oprogramowanie zabezpieczające. W sieci: komputer łączący się w regularnych odstępach, w dzień i w nocy, z nieznanym zewnętrznym serwerem, bo tak trojany bankowe i trojany zdalnego dostępu utrzymują kontakt z operatorami. Ważne są też alerty Twojego banku o nowych urządzeniach czy zmienionych odbiorcach. Najbezpieczniej jest mieć osobny komputer albo osobne konto użytkownika tylko do bankowości, bez poczty, z aktualnymi poprawkami i zatwierdzaniem przez dwie osoby płatności powyżej limitu. NetSenX wykrywa beaconing z tego komputera w każdym planie; nie widzi, co dzieje się w przeglądarce, i nie zastępuje zabezpieczeń banku.
Patrząc na to, co serwer bazy danych wysłał na zewnątrz, a nie na samą bazę. Eksport z ERP z danymi klientów, cenami czy płacami jest duży, a serwer, na którym działa, zwykle rozmawia z aplikacją ERP, systemem kopii zapasowych i kilkoma użytkownikami, nie z internetem. Oznaki to duży transfer wychodzący z tego serwera albo ze stacji roboczej, która właśnie pobrała obszerny eksport, zwłaszcza w nocy lub do chmury; plik zrzutu bazy pojawiający się w udziale plikowym; albo nowa sesja zdalna do serwera tuż wcześniej. Ogranicz dostęp do internetu z serwerów baz danych i loguj eksporty w samym ERP. NetSenX wykrywa nietypowy wolumen danych wychodzących dla każdego hosta, z celem i czasem, w każdym planie; nie widzi, jakie tabele znalazły się w zaszyfrowanym transferze.
Zwykle tak, gdy już zna kopię zapasową. Legalna kopia zapasowa lub synchronizacja z chmurą działa ze znanych hostów do znanych celów o stałych porach, z podobnym wolumenem noc w noc, i zaczyna się w dniu, w którym ustawiono zadanie. Kradzież zwykle różni się przynajmniej jednym: host, który nigdy nie wysyła danych, nowy cel, nietypowa godzina albo wolumen znacznie powyżej normy danego hosta. Gdy kradzież korzysta z tego samego dostawcy chmury co Twoje kopie, różnią się konto i dokładny cel, co lepiej niż dane o przepływach pokazuje proxy albo logi samego dostawcy. NetSenX porównuje wysyłki każdego hosta z jego własną historią i wyjaśnia alert, więc nocne zadanie kopii zapasowej pozostaje rozpoznawalne; jeśli jednak wywoła alert, oznacz go raz jako false positive, a decyzja trafi do dziennika audytu.
Większość ruchu ze stacji roboczych do kontrolera domeny jest niegroźna: logowania, zasady grupy, synchronizacja czasu i rozwiązywanie nazw odbywają się przez całą dobę, także w nocy. Nienormalne jest otwarcie przez stację roboczą interaktywnej sesji zdalnej do kontrolera domeny, na przykład pulpitu zdalnego lub zdalnego zarządzania, albo korzystanie z jego udziałów administracyjnych, zwłaszcza z komputera osoby spoza IT i o godzinie, w której nikt nie pracuje. To typowy krok przed przejęciem katalogu przez napastnika, utworzeniem kont albo rozesłaniem ransomware wszędzie. Ogranicz dostęp administracyjny do kontrolerów domeny do kilku dedykowanych maszyn administracyjnych. NetSenX wykrywa takie nowe sesje administracyjne między hostami jako ruch lateralny w każdym planie, a od planu Pro łączy je ze skanowaniem, które często je poprzedza.
ARP spoofing to fałszywe ogłaszanie się urządzenia w sieci lokalnej jako router lub inny host, tak by przeznaczony dla nich ruch płynął przez nie. Pozwala napastnikowi czytać nieszyfrowany ruch, przechwytywać poświadczenia lub manipulować połączeniami i działa tylko z wnętrza tego samego segmentu, na przykład z przejętego komputera albo urządzenia podłączonego do wolnego gniazdka. Na zarządzalnych przełącznikach blokuje go dynamic ARP inspection razem z DHCP snooping; port security i 802.1X ograniczają, kto może się podłączyć; szyfrowanie usług wewnętrznych ogranicza szkody. Bez zarządzalnych przełączników szukaj jednego adresu MAC, który zgłasza kilka adresów IP, zwłaszcza adres bramy. Sensor w segmencie widzi takie sprzeczne ogłoszenia, a mapa sieci NetSenX pokazuje urządzenia w monitorowanych segmentach, więc nowe urządzenie rzuca się w oczy.
To zależy od zabezpieczeń Wi-Fi i od tego, co jest szyfrowane wyżej. W otwartej sieci albo takiej, w której wszyscy znają to samo hasło, osoba w sieci może przy pewnym wysiłku zobaczyć lub przekierować ruch innych użytkowników; WPA3 znacznie utrudnia bierne podsłuchiwanie, a WPA2 lub WPA3 Enterprise z indywidualnymi loginami lepiej oddziela użytkowników. Izolacja klientów w sieci gościnnej w ogóle uniemożliwia urządzeniom komunikację między sobą. W praktyce większość ruchu chroni dziś HTTPS, więc większym ryzykiem są przekierowania na fałszywe strony logowania i ataki na urządzenia wciąż używające nieszyfrowanych protokołów, takie jak stare drukarki czy kamery. Trzymaj gości w izolowanej sieci, a pracowników na indywidualnych loginach. NetSenX nie zarządza Wi-Fi; w monitorowanych segmentach pokazuje, które urządzenia komunikują się z którymi, i wykrywa skanowanie z nowego urządzenia.
Nie z poziomu samej sieci. Sensor sieciowy widzi, który host wysłał ile danych, dokąd i kiedy, a czasem protokół i nazwę serwera; program, który otworzył połączenie, znany jest tylko na samym hoście. Żeby go poznać, użyj systemu EDR (endpoint detection and response) albo wbudowanego w system operacyjny logowania połączeń na ważnych serwerach i zapisuj zdarzenia procesów i sieci razem, by potem dało się dopasować transfer do procesu. Firewalle i proxy uwierzytelniające użytkowników mogą dodać konto. W praktyce alert sieciowy mówi, któremu serwerowi i której minucie się przyjrzeć, co sprawia, że proces znajduje się szybko. NetSenX wykrywa nietypowy wolumen danych wychodzących dla każdego hosta, z czasem i celem, w każdym planie; nie podaje procesu ani użytkownika, który za tym stoi.
Atak na łańcuch dostaw dociera do Ciebie przez kogoś, komu ufasz: producenta oprogramowania, którego aktualizację zmanipulowano, firmę IT, której narzędzie zdalnego zarządzania zostało nadużyte, dostawcę z dostępem VPN do Twojej sieci albo zhakowanego partnera, z którego poczty wysyłane są do Ciebie złośliwe faktury. Działa, bo dostęp lub oprogramowanie są legalne, więc przechodzą kontrole, które stosujesz wobec obcych. Obrona to wiedza, którzy dostawcy mają dostęp i do czego, nadanie każdemu najmniejszego potrzebnego dostępu i własnych kont z uwierzytelnianiem wieloskładnikowym (MFA), wyłączanie dostępu, gdy nie jest używany, i pytania o ich bezpieczeństwo w umowach. NIS2 wymienia bezpieczeństwo łańcucha dostaw wśród środków zarządzania ryzykiem cyberbezpieczeństwa w art. 21. NetSenX nie zobaczy, jak powstaje zmanipulowana aktualizacja; widzi, co dostęp lub oprogramowanie dostawcy robi potem w Twojej sieci, na przykład beaconing albo nowe sesje.
Zero-day to podatność, którą napastnicy wykorzystują, zanim producent wyda poprawkę, więc łatanie jeszcze nie pomaga, a sygnatur nie ma. Podatności zero-day są drogie i często wykorzystywane przeciwko systemom wystawionym do internetu, takim jak bramy VPN, firewalle i serwery wymiany plików. Wykrywanie opiera się więc na tym, co dzieje się po wykorzystaniu podatności: urządzenie, które nagle rozmawia z nowymi zewnętrznymi serwerami, serwer WWW, który zaczyna skanować sieć wewnętrzną, nowe sesje administracyjne, wyciekające dane. Ograniczaj ekspozycję: utrzymuj jak najmniej usług dostępnych z internetu, chowaj interfejsy zarządzania za VPN i śledź komunikaty producentów oraz katalog Known Exploited Vulnerabilities agencji CISA, by łatać w chwili pojawienia się poprawki. NetSenX nie wykrywa samego wykorzystania podatności; wykrywa zachowania, które po nim następują, takie jak beaconing, skanowanie i nietypowy wolumen wychodzący, w każdym planie.
Oba polegają na zgadywaniu haseł, ale w przeciwnych kierunkach. Brute force próbuje wielu haseł na jednym koncie, co zwykle blokuje konto i wyraźnie widać w logach celu. Password spraying próbuje jednego lub dwóch popularnych haseł, na przykład pory roku z rokiem, na wielu kontach, mieszcząc się w limitach blokady, i często rozkłada próby na godziny lub na kilka usług. Spraying częściej dotyczy VPN, poczty przez przeglądarkę i logowania do chmury, gdzie nazwy kont łatwo odgadnąć. Obrona jest w obu przypadkach taka sama: uwierzytelnianie wieloskładnikowe (MFA), zakaz popularnych haseł i alerty o nieudanych logowaniach na wielu kontach z jednego źródła. Wewnątrz firmy oba ataki wyglądają w sieci jak jeden host wielokrotnie nawiązujący krótkie połączenia z usługami logowania. NetSenX pokazuje te połączenia między hostami; liczba niepowodzeń i próbowane konta są w logach serwera lub dostawcy tożsamości.
Credential stuffing to wykorzystywanie przez napastników par e-mail i hasło, które wyciekły z innych serwisów, i automatyczne próbowanie ich na Twoich stronach logowania, w nadziei, że ludzie używają tych samych haseł. Atak dotyczy usług wystawionych do internetu, takich jak poczta przez przeglądarkę, VPN, portale klientów i aplikacje chmurowe, i pochodzi z wielu adresów naraz, więc często wygląda jak zwykła mieszanka logowań z nieco wyższym odsetkiem niepowodzeń. Obrona to uwierzytelnianie wieloskładnikowe (MFA), zasada zakazująca ponownego używania haseł, sprawdzanie firmowych adresów w znanych zbiorach wycieków i limity prób na stronach logowania. Dla kont Twoich klientów zaoferuj MFA i obserwuj wiele nieudanych logowań na różnych kontach. Sensor sieciowy w firmie widzi z tego niewiele, bo dzieje się to na Twoich usługach publicznych albo u dostawcy chmury. NetSenX widzi, do czego potem służy udane logowanie, jeśli prowadzi do aktywności w Twojej sieci wewnętrznej.
Kerberoasting to atak na Active Directory, w którym dowolny zalogowany użytkownik żąda biletów usług dla kont uruchamiających usługi, a potem zabiera bilety i łamie je offline, by odzyskać hasła tych kont. Nie wymaga specjalnych uprawnień, robi mało hałasu i najlepiej działa przeciwko kontom serwisowym ze słabymi, starymi hasłami, które często mają szerokie uprawnienia. Obrona to długie losowe hasła kont serwisowych, najlepiej zarządzane konta usług z automatyczną rotacją, silne typy szyfrowania dla Kerberosa i alerty w logach katalogu, gdy jeden host w krótkim czasie żąda wielu biletów usług. Żądania biletów to zdarzenia katalogu, widoczne dla monitoringu tożsamości, a nie dla sensora przepływów. NetSenX nie alarmuje o aktywności Kerberosa; widzi, do czego potem służą złamane konta, na przykład nowe sesje administracyjne do serwerów.
Pass-the-hash to użycie przez napastnika zapisanego skrótu hasła, zabranego z pamięci lub dysku przejętego komputera, do uwierzytelnienia się jako ten użytkownik bez znajomości samego hasła. Działa ze starszym uwierzytelnianiem NTLM, wciąż powszechnym w wielu sieciach, i pozwala napastnikowi przechodzić z maszyny na maszynę z tożsamością administratora. Obrona obejmuje niełogowanie się kontami administratorów domeny na zwykłych stacjach roboczych, unikalne hasło lokalnego administratora na każdej maszynie, zabezpieczenia uniemożliwiające odczyt poświadczeń z pamięci, ograniczenie lub wyłączenie NTLM tam, gdzie to możliwe, oraz ochronę punktów końcowych. Kradzież skrótu odbywa się na hoście; jego ponowne użycie widać w sieci jako połączenia administracyjne między maszynami, które zwykle ze sobą nie rozmawiają. NetSenX wykrywa ten ruch lateralny w każdym planie; nie analizuje samego protokołu uwierzytelniania.
Drive-by download infekuje komputer, gdy ktoś po prostu odwiedza stronę internetową: przejętą legalną witrynę, złośliwą reklamę albo stronę, która udaje aktualizację przeglądarki lub CAPTCHA i skłania użytkownika do uruchomienia czegoś. Komunikat CISA o grupie ransomware Interlock, AA25-203A z 22 lipca 2025 roku, opisuje pobrania drive-by z przejętych legalnych stron i technikę ClickFix, w której fałszywy komunikat namawia użytkownika do wklejenia i uruchomienia polecenia. Obrona to aktualne przeglądarki i systemy operacyjne, filtrowanie DNS i stron WWW, uniemożliwienie użytkownikom uruchamiania wklejanych skryptów oraz uczenie ludzi, że żadna strona nie potrzebuje, by uruchamiali polecenie. Gdy coś już się uruchomi, zwykle łączy się z domem: NetSenX wykrywa wynikający z tego beaconing do nowego zewnętrznego serwera w każdym planie.
Botnet to sieć zainfekowanych komputerów, routerów, kamer i innych urządzeń, którymi przestępca steruje zdalnie i które wynajmuje do rozsyłania spamu, credential stuffingu, ataków odmowy usługi albo jako przekaźnik dla innych przestępstw. Właściciele rzadko to zauważają, bo urządzenie nadal działa; kosztem jest przepustowość, Twój publiczny adres na czarnych listach i napastnik z przyczółkiem w Twojej sieci. Oznaki to urządzenie łączące się w regularnych odstępach z serwerem dowodzenia, nagłe serie połączeń wychodzących do wielu adresów, poczta wysyłana z urządzenia, które nie powinno jej wysyłać, albo zgłoszenie od dostawcy internetu lub krajowego CERT. Aktualizuj urządzenia podłączone do internetu, zmieniaj ich domyślne hasła i blokuj wychodzącą pocztę poza serwerem pocztowym. NetSenX wykrywa beaconing i nietypowy wolumen wychodzący dla każdego hosta w każdym planie, także dla urządzeń, na których nie da się uruchomić agenta.
Trojan zdalnego dostępu to złośliwe oprogramowanie, które daje napastnikowi pełną kontrolę nad komputerem: może widzieć ekran, rejestrować naciśnięcia klawiszy, otwierać pliki, włączać kamerę, uruchamiać polecenia i używać maszyny jako trampoliny do sieci. Zwykle trafia na komputer przez załączniki phishingowe, fałszywe pobrania oprogramowania lub złamane programy i utrzymuje połączenie z operatorem, stale otwarte albo nawiązywane w odstępach. Na komputerze główną obroną są ochrona punktów końcowych i kontrola aplikacji. W sieci najpewniejszym sygnałem jest połączenie z operatorem: mały, regularny ruch do nieznanego celu, często przez HTTPS lub nietypowy port, czasem przekazywany przez legalną usługę chmurową. NetSenX wykrywa taki beaconing w każdym planie, a od planu Starter porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPAN/TAP.
Broker dostępu początkowego to przestępca, który włamuje się do firm i zamiast korzystać z dostępu, sprzedaje go innym: loginy VPN, poświadczenia pulpitu zdalnego, web shell na serwerze albo kontrolę nad zainfekowanym laptopem. Grupy ransomware i inni przestępcy kupują taki dostęp na przestępczych rynkach i od niego zaczynają atak, czasem po tygodniach. Dla ofiary ma to dwie konsekwencje. Pierwsze włamanie może być ciche i wyglądać na niezwiązane z późniejszymi szkodami, a ten, kto szyfruje, może nie być tym, kto wszedł. Poza tym czas między dostępem a atakiem to szansa: konta używane z nietypowych miejsc, nowe narzędzie zdalnego dostępu czy serwer łączący się z adresem zewnętrznym można znaleźć, zanim pojawi się kupujący. NetSenX wykrywa beaconing i nowe sesje, które taki dostęp zwykle wytwarza, w każdym planie; logowania pokazują logi tożsamości.
Web shell to mały złośliwy skrypt umieszczony na serwerze WWW, zwykle przez podatność w aplikacji wystawionej do internetu, który pozwala napastnikowi uruchamiać polecenia na serwerze za pomocą zwykłych żądań webowych. To częsty sposób na utrzymanie dostępu do przejętych systemów, takich jak serwery wymiany plików, serwery pocztowe czy systemy zarządzania treścią, i wtapia się w normalny ruch webowy. Oznaki to nowe lub zmienione pliki skryptów w katalogach WWW, procesy serwera WWW uruchamiające powłoki poleceń i sam serwer, który nagle łączy się z internetem albo z maszynami wewnętrznymi, z którymi nigdy wcześniej nie rozmawiał. Szybko łataj aplikacje wystawione do internetu, monitoruj zmiany w katalogach WWW i ogranicz, do czego serwer WWW ma dostęp. Plik widać na hoście; NetSenX widzi zachowanie sieciowe, które następuje potem, na przykład serwer publiczny skanujący sieć wewnętrzną lub wysyłający nietypowe ilości danych, w każdym planie.
Tunelowanie protokołów to ukrywanie jednego rodzaju ruchu w innym, tak by przeszedł przez firewalle i wyglądał niewinnie: polecenia lub skradzione dane opakowane w zapytania DNS, zwykłe żądania webowe, pingi ICMP albo połączenie SSH. Napastnicy używają go, by utrzymać otwarty kanał dowodzenia, gdy bezpośrednie połączenia są zablokowane, albo by przez jeden przejęty host dotrzeć do systemów wewnętrznych. Widać je jako protokoły zachowujące się dziwnie: zapytania DNS z długimi losowymi nazwami, pingi niosące znacznie więcej danych niż zwykle, sesja SSH trwająca dniami i przenosząca dużo danych albo host przekazujący połączenia dla innych. Ogranicz, które protokoły mogą wychodzić z sieci i z których hostów, i wymuś DNS przez własne resolvery. NetSenX wykrywa tunelowanie DNS oraz beaconing i nietypowy wolumen wychodzący w każdym planie; nigdy nie odszyfrowuje ruchu, więc zaszyfrowany tunel ocenia po wzorcu.
Bo są zaufane. Narzędzia zdalnej pomocy i zdalnego zarządzania są podpisane, powszechnie instalowane i przepuszczane przez firewalle, więc antywirus rzadko je zgłasza, a ich ruch trafia do chmury producenta jak każda legalna sesja. Napastnicy instalują je po wejściu albo nadużywają już obecnych, by utrzymać dostęp, który przetrwa zmianę hasła. Komunikaty CISA o grupach takich jak Akira i Medusa opisują właśnie takie użycie oprogramowania zdalnego dostępu. Prowadź listę narzędzi, z których firma rzeczywiście korzysta, blokuj instalację innych, wymagaj uwierzytelniania wieloskładnikowego (MFA) dla dopuszczonych i usuwaj te, których nikt nie potrzebuje. W sieci nieoczekiwane narzędzie widać jako host regularnie łączący się z dostawcą zdalnego dostępu, z którego nigdy wcześniej nie korzystał. NetSenX wykrywa takie nowe regularne połączenia jako beaconing w każdym planie; decyzja, czy narzędzie jest zatwierdzone, należy do Ciebie.
Wiper niszczy dane, zamiast trzymać je dla okupu: nadpisuje pliki, struktury dysku lub firmware tak, by systemy nie mogły się uruchomić albo by danych nie dało się odzyskać. Służy do sabotażu, czasem udaje ransomware z żądaniem okupu, które prowadzi donikąd, a firmy mogą ucierpieć przy okazji, gdy rozprzestrzenia się przez wspólnych dostawców lub sieci. Ponieważ nie ma o czym negocjować, jedyną prawdziwą odpowiedzią są kopie zapasowe offline i przetestowany plan odtworzenia. Kroki przed wymazaniem są podobne jak przy innych włamaniach: dostęp, dowodzenie i kontrola, ruch do wielu maszyn, czasem przez centralne narzędzia zarządzania, które rozsyłają wipera wszędzie naraz. NetSenX nie wykrywa samego wymazywania, które dzieje się na hostach; obserwuje wcześniejsze kroki, takie jak beaconing, skanowanie i ruch lateralny, w każdym planie.
Cryptojacking to wykorzystywanie przez przestępców Twoich komputerów, serwerów lub kont w chmurze do wydobywania kryptowaluty na własny rachunek. Rzadko kradnie dane, ale kosztuje prąd i opłaty za chmurę, spowalnia systemy, zużywa sprzęt i pokazuje, że ktoś ma drogę do środka, często przez niezałatany serwer wystawiony do internetu albo skradzione klucze do chmury. Na hoście widać go jako utrzymujące się wysokie obciążenie procesora przez nieznany proces. W sieci koparki utrzymują długotrwałe połączenie z pulą wydobywczą, często na nietypowych portach, z małymi regularnymi wiadomościami w obu kierunkach przez całą dobę. Blokuj na firewallu znane cele pul wydobywczych, jeśli to możliwe, obserwuj rachunki za chmurę pod kątem niewyjaśnionej mocy obliczeniowej i łataj serwery wystawione do internetu. NetSenX wykrywa regularne, trwałe połączenia z nowym zewnętrznym celem jako beaconing w każdym planie; obciążenie procesora to zadanie dla monitoringu punktów końcowych lub chmury.