Jak się dowiedzieć, że ktoś zgaduje hasła w naszej sieci wewnętrznej?

Szukaj w dwóch miejscach: w logach celu i we wzorcu ruchu w sieci. Logi celu, na serwerze plików, hoście pulpitu zdalnego, serwerze SSH czy kontrolerze domeny, pokazują same nieudane logowania i próbowane nazwy kont; wiele niepowodzeń dla wielu kont z jednego źródła to password spraying, wiele dla jednego konta to brute force. Sieć pokazuje źródło: jeden host, który wielokrotnie nawiązuje krótkie połączenia z usługą logowania, często na kilku serwerach. Brute force na pulpit zdalny lub SSH wewnątrz sieci LAN nie jest normalny; oznacza przejętą maszynę albo nieautoryzowany test. Blokuj lub spowalniaj powtarzające się niepowodzenia, wymagaj uwierzytelniania wieloskładnikowego (MFA), gdzie się da, i zbadaj host źródłowy. NetSenX widzi powtarzające się połączenia między hostami w monitorowanych segmentach i wykrywa skanowanie oraz ruch lateralny, które zwykle im towarzyszą; liczba nieudanych logowań jest w logu serwera.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy