Skąd wiemy, że napastnik naprawdę zniknął?

Pewności mieć nie można, ale można zbudować rozsądne zaufanie. Sprawdź, czy rozumiesz, jak napastnik wszedł i czy ta droga jest zamknięta, czy usunięto każde założone przez niego konto i narzędzie oraz czy zresetowano dane logowania. Potem szukaj braku aktywności: żadnych połączeń z jego znanymi serwerami, żadnych nowych kont administratora, żadnych niewyjaśnionych logowań, żadnego skanowania między hostami. Przeszukaj logi i punkty końcowe pod kątem wskaźników z dochodzenia, takich jak adresy IP, domeny i skróty plików. Utrzymuj wzmożoną czujność przez co najmniej kilka tygodni, bo niektórzy napastnicy czekają. Ocena kompromitacji przeprowadzona przez zewnętrzną firmę daje niezależne spojrzenie. NetSenX wspiera ten test braku aktywności od strony sieci: beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący są wykrywane w każdym planie, także Free, więc cisza w monitorowanych segmentach coś znaczy.

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy