Jak powstrzymać napastnika, który już jest w naszej sieci?
Najpierw go powstrzymując, potem usuwając, w jednym skoordynowanym ruchu. Ustal po cichu jak najwięcej: które hosty i konta są zaangażowane, jak napastnik wchodzi i wychodzi i gdzie są jego narzędzia. Potem działaj jednocześnie: odizoluj zaatakowane hosty na przełączniku lub firewallu, zablokuj ich zewnętrzne cele, wyłącz lub zresetuj przejęte konta z czystego urządzenia i zamknij drogę wejścia, na przykład konto VPN lub wystawioną usługę. Działanie po kawałku ostrzega napastnika, który może przenieść się na inne hosty albo zacząć niszczyć systemy. Wezwij firmę reagującą na incydenty, jeśli jeszcze tego nie zrobiłeś, i prowadź dziennik. Po powstrzymaniu odbuduj zaatakowane maszyny i uważnie obserwuj sieć przez kolejne tygodnie. NetSenX nie usuwa napastników; pokazuje z poziomu sieci, które hosty są zaangażowane i dokąd się łączą, czyli to, czego potrzebuje plan powstrzymania, a potem wykrywa ponowną aktywność.
Czytaj dalej
Powiązane pytania
- Jak szybko napastnicy działają, gdy już są w środku?
- Skąd wiedzieć, czy komputer, z którego korzystamy z bankowości internetowej, jest zainfekowany?
- Skąd wiedzielibyśmy, że baza danych naszego ERP została skopiowana poza firmę?
- Czy monitoring sieci odróżni wysyłkę kopii zapasowej od kradzieży danych?
- Dlaczego zwykła stacja robocza miałaby łączyć się w nocy z kontrolerem domeny?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy