Pracownik wpisał hasło na stronie phishingowej. Co sprawdzić w sieci?

Najpierw zajmij się tożsamością: zresetuj hasło, unieważnij sesje, sprawdź dziennik logowań i metody MFA. Potem poszukaj w sieci śladów, że logowanie posłużyło do dalszych działań. Przydatne pytania: czy urządzenie lub konto pracownika łączyło się z serwerami, których normalnie nie używa, takimi jak serwery plików, kontroler domeny czy systemy finansowe? Czy z nietypowej maszyny ruszyły sesje pulpitu zdalnego lub zdalnego zarządzania? Czy któreś urządzenie zaczęło regularne, rytmiczne połączenia z nieznanym adresem zewnętrznym, co może oznaczać kanał zdalnego sterowania? Czy z sieci wypłynęło nietypowo dużo danych? W NetSenX historia alertów i mapa sieci pokazują takie wzorce w każdym planie: beaconing, skanowanie wewnętrzne, ruch boczny i nietypowe wolumeny danych wychodzących. Jeśli w dniach po kliknięciu nic takiego się nie pojawi, to uspokaja, ale nie dowodzi, bo do skrzynek w chmurze i aplikacji SaaS łączy się przez internet i ta aktywność w ogóle nie przechodzi przez Twoją sieć.

← Wszystkie pytania (29): Phishing i skutki ataków e-mailowychWszystkie tematy