Jak znaleźć pacjenta zero, czyli pierwszą maszynę przejętą przez napastnika?

Idź wstecz od tego, co wiesz, posługując się znacznikami czasu. Zacznij od maszyny, na której zauważono incydent, zapytaj, który inny host jako pierwszy połączył się z nią w nietypowy sposób, i powtórz to dla tego hosta. Logi punktów końcowych pokazują logowania i nowe programy, logi katalogu, które konto było używane z którego komputera, a logi firewalla i VPN pierwsze połączenia z zewnątrz. Najwcześniejsze regularne połączenia z serwerem napastnika często wskazują pierwszą zainfekowaną maszynę. Pacjent zero jest ważny, bo mówi, jak napastnik wszedł, a tę drogę trzeba zamknąć przed odtwarzaniem systemów. Pamiętaj, że pierwsza znaleziona maszyna często nie jest pierwszą zainfekowaną. Alerty NetSenX zawierają czasy, hosty i cele, a od planu Pro korelacja w całej sieci łączy skanowanie, nowe sesje i beaconing między hostami w jedną historię, co skraca te poszukiwania.

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy