Ruch lateralny lepiej wykrywać w logach uwierzytelniania czy w przepływach sieciowych?

W obu, bo każde źródło widzi to, czego nie widzi drugie. Logi uwierzytelniania z katalogu, serwerów i VPN pokazują, które konto gdzie się zalogowało, jaką metodą i czy próba się nie powiodła; to najlepsze źródło do wykrywania skradzionych poświadczeń, ale tylko dla systemów, które logują, przechowują logi i wysyłają je tam, gdzie ktoś je czyta. Przepływy sieciowe pokazują, który host połączył się z którym, na jakim porcie, jak często i ile danych przesłał, dla każdego urządzenia w monitorowanym segmencie, także tych, które nie prowadzą logów: drukarek, urządzeń sieciowych, niezarządzanych serwerów. Nie pokazują nazw kont. W praktyce nowa sesja między dwoma hostami, które nigdy ze sobą nie rozmawiały, to sygnał sieciowy, a konto za nią to pytanie z obszaru tożsamości. NetSenX obejmuje stronę sieciową w każdym planie; połącz go z logami logowania z katalogu lub z systemem SIEMSIEM: security information and event management. System, który zbiera logi z wielu systemów i szuka w nich wspólnych wzorców., do którego NetSenX potrafi eksportować od planu Business.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy