Jak długo po incydencie trzeba uważnie obserwować sieć?
Co najmniej kilka tygodni, a po poważnym włamaniu dłużej. Napastnicy, którzy zachowali przyczółek, często czekają, aż zespół reagowania się odpręży, a dostęp sprzedany innym może zostać użyty znacznie później. W tym czasie codziennie przeglądaj alerty, szukaj połączeń ze wskaźnikami z dochodzenia, sprawdzaj, czy nie pojawiły się nowe konta administratora i narzędzia zdalnego dostępu, i upewniaj się, że kopie zapasowe działają i nie dotykają ich nietypowe hosty. Każde powtórzenie pierwotnego wzorca traktuj jako nowy incydent, a nie szum. Ustal z góry, kto co przegląda i kiedy kończy się wzmożona czujność. NetSenX wykrywa beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący w każdym planie, także Free, a jego historia alertów, 30 dni w Free i dłużej w planach płatnych, pozwala porównać tygodnie po incydencie z tygodniami przed nim.
Czytaj dalej
Powiązane pytania
- Czym jest przegląd wniosków (lessons learned) po incydencie?
- Co zrobić z alertem bezpieczeństwa w nocy, gdy nikt nie ma dyżuru?
- Czy dało się przewidzieć weekendowy atak ransomware?
- Ile czasu mija od pierwszego dostępu do szyfrowania?
- Jak ransomware może się rozprzestrzeniać przez pendrive'a lub dysk zewnętrzny?
← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy