Czy po odbudowie maszyn napastnicy coś po sobie zostawiają?
Czasem tak, bo odbudowa czyści tylko te maszyny, które odbudowałeś. To, co przetrwa, zwykle jest gdzie indziej: skradzione hasła i tokeny sesji, konta założone w katalogu lub w usługach chmurowych, narzędzie zdalnego dostępu na serwerze, którego nikt nie przeinstalował, zaplanowane skrypty w udziale sieciowym, zmienione reguły firewalla albo kopia zapasowa, która już zawierała narzędzia napastnika. Zanim uznasz incydent za zamknięty, zresetuj wszystkie dane logowania, które mogły wyciec, przejrzyj wszędzie nowe konta, reguły przekierowania poczty i oprogramowanie zdalnego dostępu, porównaj ustawienia firewalla i VPN ze sprawdzoną kopią i odtwarzaj dane tylko z kopii sprzed włamania. Potem uważnie obserwuj sieć przez kilka tygodni. Ponowne połączenia z serwerami napastnika to typowy znak, że coś przeoczono; NetSenX wykrywa beaconing C2C2: command and control (dowodzenie i kontrola). Kanał, którym złośliwe oprogramowanie odbiera polecenia z serwera napastnika. w każdym planie, także Free.
Czytaj dalej
Powiązane pytania
- Czy możemy bezpłatnie sprawdzić, czy w sieci firmowej jest botnet?
- Czym jest ocena kompromitacji (compromise assessment) i czy jej potrzebujemy?
- Firmę z naszej branży zhakowano. Jak sprawdzić, czy nie jesteśmy następni?
- Na co zwrócić uwagę w naszej sieci po włamaniu u partnera lub firmy z branży?
- W zeszłym roku mieliśmy incydent. Jak upewnić się, że wykrylibyśmy go, gdyby się powtórzył?
Pojęcia użyte tutaj
- C2 (command and control (dowodzenie i kontrola))
- Kanał, którym złośliwe oprogramowanie odbiera polecenia z serwera napastnika.
← Wszystkie pytania (35): Czy zostałem zhakowany?Wszystkie tematy