Jak szybko napastnicy działają, gdy już są w środku?
Czasem w ciągu godziny, czasem przez tygodnie. Grupy używające zautomatyzowanych narzędzi i skradzionych haseł administratorów potrafią bardzo szybko dotrzeć do serwerów po zdobyciu przyczółka, inne czekają, rozpoznają i kopiują dane, zanim zaczną działać. Producenci rozwiązań bezpieczeństwa publikują pomiary tak zwanego breakout time, ale opisują one ich własnych klientów i metody, więc do każdej pojedynczej liczby podchodź ostrożnie. Praktyczny wniosek jest zawsze ten sam: zakładaj, że po pierwszym sygnale możesz mieć mało czasu. Ustal z góry, kto może w nocy odizolować host, upewnij się, że alerty trafiają do osoby, która je czyta, i utrzymuj segmentację między stacjami roboczymi a serwerami, by ścieżka napastnika była dłuższa. NetSenX wykrywa kroki, które zwykle następują po zdobyciu przyczółka, czyli beaconing, skanowanie i ruch lateralny, w każdym planie, i stąd bierze się czas na reakcję.
Czytaj dalej
Powiązane pytania
- Skąd wiedzieć, czy komputer, z którego korzystamy z bankowości internetowej, jest zainfekowany?
- Skąd wiedzielibyśmy, że baza danych naszego ERP została skopiowana poza firmę?
- Czy monitoring sieci odróżni wysyłkę kopii zapasowej od kradzieży danych?
- Dlaczego zwykła stacja robocza miałaby łączyć się w nocy z kontrolerem domeny?
- Czym jest ARP spoofing i jak go wykryć w sieci małego biura?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy