Czy zostałem zhakowany?

Szukaj zmian w zachowaniu: nowych celów połączeń wychodzących, połączeń w regularnych odstępach, logowań o dziwnych porach, jednej maszyny łączącej się z wieloma innymi i nietypowego wolumenu danych wychodzących. Każdy z tych sygnałów sprawdzisz w logach firewalla, DNS i katalogu. Dwa lub więcej naraz warto zbadać; ciągły monitoring sieci wypatruje ich codziennie, a nie tylko w dniu, w którym ktoś zajrzy do logów.

Tak. We wspólnym komunikacie AA24-038A z 7 lutego 2024 r. CISA, NSA i FBI podały, że aktorzy Volt Typhoon utrzymywali dostęp do środowisk IT części ofiar przez co najmniej pięć lat. Atakujący, którzy używają tych samych narzędzi administracyjnych co dział IT, zostawiają niewiele sygnatur, i dlatego liczy się zachowanie w sieci.

Wyeksportuj z firewalla lub serwera DNS najczęstsze cele połączeń wychodzących i przejrzyj te rzadkie; sprawdź udane logowania poza godzinami pracy; policz, z iloma hostami wewnętrznymi łączy się każda stacja robocza na portach SMB, RDP, SSH i WinRM; porównaj wolumen danych wysyłanych przez każdy serwer z jego własną średnią.

Nie. NetSenX dodaje widok sieci: widzi urządzenia bez agenta i ruch między hostami. Ochrona urządzeń końcowych nadal odpowiada za to, co dzieje się wewnątrz każdej maszyny. Plan Free nie ma limitu czasu i nie wymaga karty kredytowej, więc najpierw zobaczysz, co znajduje w Twojej sieci.

Tak. Napastnicy, którzy używają skradzionych haseł i narzędzi administracyjnych już obecnych w Twoich systemach, mogą długo pozostawać niezauważeni: nic się nie psuje, więc nikt nie szuka. Zdradza ich zachowanie, na przykład komputer, który w regularnych odstępach łączy się z nowym zewnętrznym serwerem, jedna maszyna łącząca się z wieloma innymi albo wysyłanie danych w nocy. NetSenX wykrywa beaconing, skanowanie, ruch boczny i nietypowy wolumen danych wychodzących w każdym planie, także w Free. Nie widzi aktywności, która w ogóle nie dotyka sieci.

Często tak. Napastnik, który kontroluje jedną maszynę, używa jej do rozglądania się i dalszego ruchu: skanuje inne hosty, próbuje haseł zapisanych na pierwszej maszynie i łączy się przez protokoły administracyjne, takie jak SMB, RDP czy SSH. W płaskiej sieci, w której każdy komputer sięga każdego serwera, nic go nie spowalnia. Trzy bezpłatne kroki ograniczają jego zasięg: podziel sieć tak, by stacje robocze nie sięgały serwerów, których nie potrzebują, odbierz codziennym kontom lokalne uprawnienia administratora i używaj innego hasła w każdym systemie. NetSenX wykrywa skanowanie i nowe sesje między hostami, które ten ruch tworzy, w każdym planie, także Free. Nie widzi tego, co napastnik robi wewnątrz pierwszej maszyny, zanim cokolwiek dotknie sieci.

Rzadko sam w sobie. Spowolnienie ma zwykle zwyczajne przyczyny: kopię zapasową, aktualizację systemu, wideokonferencję, zajęte łącze. Warto mu się przyjrzeć, gdy towarzyszy mu ruch, którego nie umiesz wyjaśnić, na przykład serwer wysyłający w nocy duże ilości danych, komputer łączący się w regularnych odstępach z nieznanym celem albo urządzenie, które nigdy wiele nie wysyłało, a nagle wysyła dużo. Zacznij od firewalla lub routera: który adres wewnętrzny zużywa pasmo i dokąd płynie ruch? Jeśli to znane zadanie, sprawa zamknięta. Monitoring wydajności pokaże, że łącze jest zajęte; NetSenX pokazuje nietypowy wolumen danych wychodzących dla każdego hosta, oceniany względem jego własnej normy, i to, czy wygląda to na wyciek danych.

Może być. Wyłączanie narzędzi bezpieczeństwa to częsty wczesny krok napastników i ransomware, bo usuwa świadka, zanim zacznie się właściwa robota. Sprawdź w konsoli ochrony punktów końcowych, kto lub co i kiedy zmieniło ustawienie, poszukaj na tej maszynie nowych kont administratora, nowych usług i zaplanowanych zadań i odizoluj ją, jeśli nie umiesz wyjaśnić zmiany. Zapytaj wsparcie producenta, czy mogła to zrobić aktualizacja; czasem tak właśnie jest. To dowód z punktu końcowego: sensor sieciowy nie widzi zmiany ustawienia na komputerze. Może natomiast pokazać, czy ta maszyna zaczęła potem zachowywać się w sieci nietypowo, na przykład łączyć się w regularnych odstępach z nowym zewnętrznym serwerem albo otwierać sesje do innych hostów, co NetSenX wykrywa w każdym planie.

Zacznij od tego, co już masz: dzierżaw DHCP na routerze lub serwerze, tablic adresów MAC na przełącznikach i listy klientów kontrolera Wi-Fi. Porównaj je z inwentarzem i sprawdź wszystko, czego nie da się wyjaśnić; pierwsza połowa adresu MAC wskazuje producenta, co często mówi, czy to drukarka, telefon czy mały komputer. Port security lub 802.1X w ogóle nie wpuszcza nieznanych urządzeń do sieci. Mapa sieci NetSenX, w każdym planie, pokazuje hosty widziane w monitorowanych segmentach i to, z kim się komunikują, więc nowe urządzenie, które zaczyna nadawać, rzuca się w oczy. Urządzenie, które milczy albo stoi w segmencie, którego nie monitorujesz, się tam nie pojawi.

Tak, w punkcie dostępowym lub kontrolerze Wi-Fi: lista klientów pokazuje każde podłączone urządzenie z adresem MAC, siłą sygnału i często nazwą. Porównaj ją z tym, czego się spodziewasz, i sprawdź w dzierżawach DHCP na routerze urządzenia, które niedawno dostały adres. Kilka ustawień sprawia, że tej liście łatwiej zaufać: osobna sieć dla gości i prywatnych telefonów, hasło do Wi-Fi zmieniane po odejściu pracowników oraz WPA2 lub WPA3 Enterprise z indywidualnymi loginami zamiast jednego wspólnego klucza. Nowoczesne telefony używają w każdej sieci innego adresu MAC, więc nieznany adres nie dowodzi włamania. NetSenX nie zarządza Wi-Fi, ale jego mapa sieci pokazuje urządzenia komunikujące się w monitorowanych segmentach, więc nowy gość sięgający serwerów wewnętrznych rzuca się w oczy.

Tak, jeśli gniazdko jest podpięte do aktywnego portu przełącznika. Gość, podwykonawca lub intruz może podłączyć laptopa albo zostawić za drukarką mały komputer, na przykład Raspberry Pi, który od tej chwili działa za Twoim firewallem. Zapobieganie jest tanie: odłącz nieużywane porty przełączników, stosuj 802.1X lub przynajmniej port security, by dostęp miały tylko znane urządzenia, salki konferencyjne i recepcję przenieś do sieci gościnnej, a podczas obchodów zaglądaj za drukarki i pod biurka. Wykrywanie to druga warstwa. Mapa sieci NetSenX, w każdym planie, pokazuje nowe urządzenia, które zaczynają nadawać w monitorowanych segmentach, a NetSenX wykrywa ukryte urządzenie łączące się regularnie na zewnątrz jako beaconing. Jeśli urządzenie łączy się z napastnikiem przez własne łącze komórkowe, widać tylko to, co robi wewnątrz Twojej sieci, na przykład skanowanie; urządzenie, które tylko słucha, pozostaje niewidoczne.

Zwykle od kilku dni do kilku tygodni, czasem znacznie dłużej. Raport M-Trends 2026 firmy Mandiant podaje medianę czasu przebywania napastnika w sieci (dwell time), czyli czasu od początku włamania do jego wykrycia, na poziomie 14 dni dla incydentów badanych w 2025 roku. Mediana ukrywa długi ogon: połowa tych włamań trwała dłużej. Czas ten jest krótki, gdy napastnik działa głośno, jak przy ransomware, a długi, gdy chodzi o cichy dostęp lub kradzież danych; włamania wykryte przez kogoś z zewnątrz trwały zwykle dłużej niż te, które firma znalazła sama. Skraca go obserwacja zachowania, nie tylko sygnatur: regularnych połączeń z nowym zewnętrznym serwerem, skanowania, nowych sesji między hostami. NetSenX wykrywa je w każdym planie, także Free, w monitorowanych segmentach.

Większość monitoringu nie zostawia niczego, co widać na ekranie, więc sprawdź, co jest zainstalowane i kto zarządza komputerem. Firmowy monitoring zwykle widać na liście zainstalowanych programów lub profili zarządzania i powinien być opisany w pisemnych zasadach; w razie wątpliwości zapytaj dział IT lub HR. Na coś niezatwierdzonego mogą wskazywać: narzędzie zdalnego dostępu, którego nie instalowałeś, mysz lub okna poruszające się same, nowe rozszerzenie przeglądarki, zapalająca się dioda kamery albo wyłączone oprogramowanie zabezpieczające. W sieci najwyraźniejszym sygnałem technicznym jest komputer, który regularnie wysyła dane do nieznanego zewnętrznego serwera. NetSenX obserwuje urządzenia i połączenia, nigdy ludzi: taki beaconing wykrywa w każdym planie, ale nie widzi, co działa wewnątrz komputera.

Zwykle nie wprost. Pasywny sniffing, czyli urządzenie, które tylko słucha, niczego nie wysyła, więc prawie nie zostawia śladów. Wykryć można natomiast pracę, którą napastnik musi wykonać, by zobaczyć ruch, który nie jest dla niego przeznaczony. W sieci z przełącznikami musi go przekierować, na przykład przez ARP spoofing, albo podłączyć się do portu lustrzanego, huba lub tapu. Funkcje przełączników, takie jak dynamic ARP inspection i DHCP snooping, blokują przekierowanie, port security ogranicza, kto może się podłączyć, a szyfrowanie usług wewnętrznych przez HTTPS, SSH i szyfrowanie SMB sprawia, że przechwycony ruch jest znacznie mniej przydatny. Sensor obserwujący segment widzi nietypowe komunikaty ARP i nowe urządzenie, które zaczyna nadawać; podsłuch, który całkowicie milczy, jest niewidoczny dla NetSenX, jak dla każdego sensora sieciowego.

Z wielu z nich, jeśli sieć mu na to pozwala. Po wejściu napastnik sięga każdego systemu, do którego ma dostęp przejęta maszyna, i loguje się wszędzie tam, gdzie działają zapisane na niej lub skradzione hasła. Udostępnione foldery, serwer plików czytelny dla wszystkich i jedno hasło administratora na każdym komputerze wydłużają tę listę. Skracają ją trzy rzeczy: segmenty oddzielające stacje robocze od serwerów, których nie potrzebują, konta z najmniejszymi uprawnieniami, które wciąż pozwalają pracować, oraz uwierzytelnianie wieloskładnikowe (MFA) przy zdalnym dostępie i logowaniu administratorów. Skradzione dane muszą też dwa razy przejść przez sieć: gdy napastnik zbiera pliki z innych hostów i gdy wysyła je na zewnątrz. NetSenX wykrywa nowe sesje między hostami i nietypowy wolumen danych wychodzących dla każdego hosta, w każdym planie, także Free.

Przez usługę, która odpowiada pod tym adresem, albo przez człowieka. Sam publiczny adres IP nie jest drzwiami; są nimi otwarte porty za nim. Napastnicy skanują cały internet w poszukiwaniu pulpitów zdalnych, bram VPN, firewalli z zarządzaniem zdalnym, serwerów poczty i WWW, a potem próbują skradzionych haseł lub znanych podatności na wszystkim, co odpowie. Druga częsta droga w ogóle omija publiczny adres: e-mail phishingowy skłania pracownika do uruchomienia czegoś, a zainfekowany komputer sam łączy się z napastnikiem. Sprawdź z zewnątrz, które porty wystawiasz, zamknij wszystko, co zbędne, resztę schowaj za VPN z uwierzytelnianiem wieloskładnikowym (MFA) i w pierwszej kolejności łataj urządzenia wystawione do internetu. W monitorowanych segmentach NetSenX pokazuje, do których hostów dociera ruch z zewnątrz, i wykrywa beaconing, który następuje po infekcji.

Tak, i często łatwa. Drukarki, kamery IP, rejestratory wideo, telewizory smart i systemy wejściowe działają na małych systemach operacyjnych, które rzadko są aktualizowane, często mają domyślne hasła i nie mogą uruchomić antywirusa. Napastnicy wykorzystują je na dwa sposoby: jako ukryty przyczółek, którego nikt nie pilnuje, i jako punkt startowy do skanowania reszty sieci. Zmień domyślne hasła, zaktualizuj firmware, wyłącz nieużywane usługi i umieść te urządzenia we własnym segmencie sieci, z którego nie sięgną Twoich serwerów ani internetu poza tym, czego potrzebują. Ponieważ nie zainstalujesz na nich agenta, obserwuj je z poziomu sieci: z portu SPAN lub TAP NetSenX widzi ich cele i wykrywa beaconing oraz skanowanie, w każdym planie, bez żadnego oprogramowania na urządzeniu.

Może być. Telewizory smart, przystawki do udostępniania ekranu i systemy konferencyjne to komputery z mikrofonami, kamerami i dostępem do sieci, aktualizowane w rytmie producenta, o ile w ogóle. Wiele z nich przez cały dzień łączy się z chmurą producenta, nawet w trybie czuwania, a niektóre przyjmują udostępnianie ekranu od każdego w tej samej sieci. Umieść je we własnym segmencie sieci, z którego nie sięgną serwerów plików ani laptopów, które są przez nie wyświetlane, wyłącz nieużywane funkcje, zmień domyślne hasła i instaluj aktualizacje. Potem sprawdź, co naprawdę robią: obserwowane z portu SPAN lub TAP, są widoczne dla NetSenX wraz z ich celami, a beaconing i skanowanie są wykrywane w każdym planie, bez oprogramowania na urządzeniu. Czy chmura producenta za granicą jest do zaakceptowania, decydujesz Ty; NetSenX pokazuje ruch, nie ocenia producenta.

Często to pracownik, ale pewność daje dopiero sprawdzenie. Logowania z nowego kraju lub od nowego operatora zdarzają się przy podróżach, nowym telefonie czy sieci komórkowej, która kieruje ruch przez inne miasto, ale także wtedy, gdy ktoś używa skradzionego hasła. Zapytaj tę osobę wprost, innym kanałem niż sprawdzane konto, czy to była ona. Potem przejrzyj logi tożsamości danej usługi: czy uwierzytelnianie wieloskładnikowe (MFA) zostało zakończone, czy dodano reguły skrzynki pocztowej lub nowe urządzenia i czy to samo konto zalogowało się w ciągu godziny z dwóch odległych miejsc? Te dowody są w logach dostawcy tożsamości, VPN i usług SaaS, nie w sieci. NetSenX dokłada stronę sieciową, na przykład urządzenie, które potem zaczyna skanować albo otwiera nowe sesje do serwerów; nie widzi zdarzeń tożsamości i nie łączy logowania z osobą.

Czasem tak, bo odbudowa czyści tylko te maszyny, które odbudowałeś. To, co przetrwa, zwykle jest gdzie indziej: skradzione hasła i tokeny sesji, konta założone w katalogu lub w usługach chmurowych, narzędzie zdalnego dostępu na serwerze, którego nikt nie przeinstalował, zaplanowane skrypty w udziale sieciowym, zmienione reguły firewalla albo kopia zapasowa, która już zawierała narzędzia napastnika. Zanim uznasz incydent za zamknięty, zresetuj wszystkie dane logowania, które mogły wyciec, przejrzyj wszędzie nowe konta, reguły przekierowania poczty i oprogramowanie zdalnego dostępu, porównaj ustawienia firewalla i VPN ze sprawdzoną kopią i odtwarzaj dane tylko z kopii sprzed włamania. Potem uważnie obserwuj sieć przez kilka tygodni. Ponowne połączenia z serwerami napastnika to typowy znak, że coś przeoczono; NetSenX wykrywa beaconing C2 w każdym planie, także Free.

Częściowo tak. Kilka instytucji krajowych oferuje bezpłatne usługi: w Hiszpanii serwis Antibotnet instytutu INCIBE sprawdza, czy Twój publiczny adres IP pojawia się w zgłoszeniach zainfekowanych urządzeń, a krajowe zespoły CERT w innych państwach przekazują podobne zgłoszenia właścicielom sieci, których to dotyczy; zapytaj dostawcę internetu, czy je do Ciebie przesyła. Pomagają też bezpłatne kontrole po Twojej stronie: log zablokowanych połączeń wychodzących na firewallu, logi DNS z zapytaniami o znane złośliwe domeny i każde urządzenie, które przez całą dobę łączy się z tym samym zewnętrznym serwerem. Sprawdzenie reputacji mówi, że coś za Twoim publicznym adresem zostało zgłoszone, a nie które to urządzenie. NetSenX wykrywa beaconing C2 dla każdego hosta w każdym planie, także Free, co wskazuje konkretne urządzenie.

Ocena kompromitacji to ograniczone w czasie dochodzenie, które odpowiada na jedno pytanie: czy napastnik jest teraz w naszym środowisku albo był w nim niedawno? Specjaliści przeglądają dowody z punktów końcowych, logów i sieci pod kątem śladów włamania, zamiast sprawdzać, czy włamanie jest możliwe, jak robi to test penetracyjny. Ma sens przed przejęciem firmy, po włamaniu u dostawcy lub firmy z Twojej branży, gdy przejmujesz nieudokumentowaną sieć albo gdy wydarzyło się coś dziwnego, czego nikt nie umiał wyjaśnić. Zapytaj wykonawcę, jakich danych potrzebuje, jak daleko wstecz może sięgnąć i czego nie obejmie. Jej jakość zależy od dowodów, które już istnieją: historia sieci zapisana przed rozpoczęciem oceny jest warta więcej niż wszystko, co zbierze się później. NetSenX przechowuje alerty i ich uzasadnienia przez okres historii w Twoim planie: 30 dni w Free, dłużej w planach płatnych.

Dowiedz się, jak ją zaatakowano, i sprawdź dokładnie tę ścieżkę u siebie. Przeczytaj publiczne oświadczenie, komunikat krajowego CSIRT lub organizacji branżowej i doniesienia, które podają metodę: wykorzystany VPN lub firewall, wspólny dostawca, phishing, znana grupa ransomware. Grupy przestępcze często używają tej samej podatności lub tego samego dostępu dostawcy wobec wielu firm naraz, więc jeśli korzystasz z tego samego oprogramowania lub usługodawcy co ofiara, zapytaj go wprost. Załataj wskazany produkt, przejrzyj zdalny dostęp i konta dostawców i upewnij się, że kopie zapasowe są odłączone od sieci i dają się odtworzyć. Potem poszukaj w sieci wczesnych kroków: nowych zewnętrznych serwerów kontaktowanych w regularnych odstępach, skanowania wewnętrznego i nowych sesji administracyjnych. NetSenX wykrywa je w każdym planie, także Free; nie powie Ci, co dzieje się w segmentach, których nie monitoruje.

Na każde połączenie z tą firmą i na wszystko, co nowe. Zacznij od tego, co was łączy: wspólne tunele VPN, konta zdalnego dostępu, których używa w Twoich systemach, wymiana plików, wątki e-mail i współdzielone foldery w chmurze. Zawieś lub zmień te dane logowania, dopóki partner nie potwierdzi, czego dotyczył incydent, i ostrożnie traktuj jego e-maile z prośbą o zmianę danych do płatności, bo napastnicy wykorzystują skradzione wątki korespondencji. Jeśli komunikat lub oświadczenie partnera podaje wskaźniki kompromitacji, takie jak adresy IP, domeny lub skróty plików, poszukaj ich w logach firewalla, proxy i DNS z kilku ostatnich tygodni. Potem obserwuj zachowanie: hosty, które nagle łączą się w regularnych odstępach z nowymi zewnętrznymi serwerami, skanowanie, nietypowe wysyłki danych. NetSenX wykrywa je w każdym planie, a jego mapa sieci pokazuje, kto z kim się komunikuje w monitorowanych segmentach.

Zamień zeszłoroczny incydent w test. Spisz każdy krok napastnika, od pierwszego dostępu do chwili, gdy go zauważyliście, i przy każdym kroku zapytaj, która kontrola lub który log zobaczyłby go dzisiaj. Potem zamknij luki: jeśli wejściem było konto VPN bez uwierzytelniania wieloskładnikowego (MFA), sprawdź, czy każde konto zdalne ma je teraz; jeśli zauważyliście atak dopiero przy szyfrowaniu, ustal, który wcześniejszy krok przeszedł przez sieć i czy cokolwiek by teraz na niego zareagowało. Ćwiczenie sztabowe (tabletop) lub symulacja włamań i ataków (BAS) odtwarza scenariusz bez szkód. NetSenX obejmuje kroki sieciowe wspólne dla większości incydentów, takie jak beaconing, skanowanie, ruch lateralny i nietypowy wolumen danych wychodzących, w każdym planie; symulacja włamań i ataków jest dostępna od planu Business. To, co dzieje się wyłącznie wewnątrz hosta, wymaga ochrony punktów końcowych.

Bo nikt w środku nie patrzył we właściwe miejsce. Klient dostaje fałszywą fakturę z Twojej przejętej skrzynki, bank zgłasza dziwne przelewy, policja lub krajowy CERT znajduje Twoje dane na serwerze przestępców albo napastnicy ogłaszają to na swojej stronie z wyciekami. W firmie sygnały często były, ale nikt ich nie czytał: logi firewalla, których nikt nie przegląda, alert antywirusa zamknięty jako szum, serwer wysyłający dane w nocy. Raporty M-Trends firmy Mandiant wielokrotnie pokazywały, że włamania wykryte przez kogoś z zewnątrz trwały dłużej niż te, które firma znalazła sama. Wiadomość z zewnątrz odbiera też kontrolę nad harmonogramem i przekazem. Zmienia to czytanie tego, co już płynie przez Twoją sieć; NetSenX zamienia to w wyjaśnione alerty o beaconingu, skanowaniu, ruchu lateralnym i nietypowych wysyłkach danych, w każdym planie, także Free.

Pytając: kto, dokąd i kiedy, i porównując odpowiedź z normą. Kopia zapasowa przenosi dane ze znanych hostów do znanego celu, zwykle o stałej porze i co noc w podobnej ilości. Aktualizacja w krótkim czasie pobiera dane z serwerów producenta na wiele hostów. Kradzież wygląda inaczej: host, który rzadko cokolwiek wysyła, wysyła dużo, do celu, z którego nikt inny nie korzysta, o godzinie, w której zwykle milczy, albo stacja robocza nagle czyta wiele udziałów plikowych. Prowadź krótką listę zadań harmonogramu, ich hostów i godzin, żeby każdy mógł porównać z nią alert. NetSenX ocenia każdy host względem jego własnych typowych celów, wolumenów i pór dnia, przy każdym alercie wyjaśnia, które cechy ruchu o nim zdecydowały, i pozwala oznaczyć alert jako false positive, a decyzja trafia do dziennika audytu.

Zapisując ją, zanim będzie potrzebna. Norma to opis tego, kto z kim się komunikuje, kiedy i ile: z jakich serwerów korzysta każda stacja robocza, do jakich usług zewnętrznych sięga, kiedy działają kopie zapasowe, które urządzenia milczą w nocy. Większość małych firm nigdy tego nie spisała, dlatego w środku incydentu trudno ocenić dziwne połączenie. Zacznij od prostej listy serwerów, zadań harmonogramu, narzędzi zdalnego dostępu i dostawców, którzy łączą się z zewnątrz. Logi firewalla i DNS z typowego tygodnia dadzą pierwszy obraz. NetSenX uczy się normy każdego hosta z ruchu w monitorowanych segmentach i porównuje z nią każde nowe połączenie, a jego mapa sieci, w każdym planie, pokazuje, kto z kim się komunikuje. Świeżo zainstalowany sensor potrzebuje czasu z Twoim ruchem, zanim jego obraz normy będzie wiarygodny, a NetSenX mówi, kiedy nie ma jeszcze dość danych.

Wskaźnik kompromitacji to ślad sugerujący, że system został zaatakowany: adres IP lub domena znane z użycia przez napastników, skrót (hash) złośliwego pliku, podejrzana nazwa pliku, odcisk TLS znanego klienta złośliwego oprogramowania albo zmiana konfiguracji, którą wprowadza malware. Publikują je komunikaty CISA, krajowych zespołów CERT i badaczy bezpieczeństwa, żeby inni mogli przeszukać własne logi. Są przydatne, ale krótkotrwałe: napastnicy zmieniają serwery i rekompilują narzędzia, więc adres złośliwy w zeszłym miesiącu może dziś należeć do kogoś niewinnego. Dlatego wskaźniki uzupełniają obserwację zachowania, a nie ją zastępują. Przeszukaj logi firewalla, proxy i DNS pod kątem wskaźników z każdego komunikatu, który Cię dotyczy. Od planu Starter NetSenX porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPAN/TAP, a zachowania takie jak beaconing wykrywa w każdym planie.

Tak. Antywirusy i narzędzia ochrony punktów końcowych szukają znanych złośliwych plików i podejrzanych zachowań na maszynie, a raportować mogą tylko z maszyn, na których są zainstalowane i działają. Napastnik, który loguje się skradzionym hasłem i używa obecnych już narzędzi administracyjnych, daje im niewiele do wykrycia, a drukarka, kamera czy serwer bez agenta nie zgłaszają niczego. Narzędzie, które ktoś wyłączył, też może wyglądać na spokojne zamiast na czerwone. Sprawdź, które maszyny naprawdę raportują do konsoli, kiedy każda ostatnio się zgłosiła i czy któraś milczy od dni. Potem dodaj drugie, niezależne spojrzenie: sieć. W monitorowanych segmentach NetSenX obserwuje zachowania, które przez nią przechodzą, takie jak beaconing do nowego zewnętrznego serwera, skanowanie, nowe sesje między hostami i nietypowe wysyłki danych, w każdym planie, także Free, niezależnie od tego, czy host ma jakiegokolwiek agenta.

Traktuj to jak incydent, dopóki nie znajdziesz wyjaśnienia. Nowe konta administratora to częsty sposób napastników na utrzymanie dostępu i często noszą nazwy, które wyglądają zwyczajnie, na przykład jak odmiana konta serwisowego lub wsparcia. Nie usuwaj go od razu: wyłącz je, zanotuj nazwę, czas utworzenia i to, kto lub co je założyło, i zapisz logi katalogu i systemu, które to pokazują, zanim zostaną nadpisane. Potem zapytaj oczywiste osoby, na przykład firmę obsługującą IT lub dostawcę oprogramowania, czy to one je utworzyły. Jeśli nikt, sprawdź, co jeszcze zmieniło się w tym samym czasie, zresetuj hasła pozostałych administratorów z czystego urządzenia i zadzwoń do firmy reagującej na incydenty. Samo konto to dowód z obszaru tożsamości, którego sensor sieciowy nie widzi; NetSenX pokazuje, czy hosty używane w tym czasie zaczęły skanować albo otwierać nowe sesje do serwerów.

Najpierw to, czy to zadanie, które znasz. Spójrz na godzinę, cel i wolumen i porównaj je z harmonogramem kopii zapasowych, aktualizacjami oprogramowania i synchronizacją z usługami chmurowymi. Znana kopia zapasowa trafia o stałej porze do znanego celu. Jeśli cel jest nowy, wolumen nietypowy albo serwer o tej porze zwykle milczy, znajdź odpowiedzialny proces na samym serwerze, sprawdź, kto logował się tuż wcześniej, i w logach firewalla lub proxy zobacz, od jak dawna to trwa. Odetnij serwer od internetu, jeśli transfer trwa, a nikt nie umie go wyjaśnić. NetSenX wykrywa nietypowy wolumen danych wychodzących dla każdego hosta w każdym planie i przechowuje godzinę, cel i wolumen każdego alertu przez okres historii w Twoim planie; nie widzi, jakie pliki były w zaszyfrowanym transferze.

Niekoniecznie, ale oznacza, że coś za tym adresem zachowywało się źle albo zostało tak zgłoszone. Typowe przyczyny to przejęta skrzynka lub urządzenie wysyłające spam, komputer zainfekowany złośliwym oprogramowaniem należący do botnetu, otwarta usługa wykorzystywana przez innych albo adres, który należał do kogoś innego, zanim dostawca przydzielił go Tobie. Sprawdź, która to lista i jaki podaje powód, przejrzyj logi serwera poczty i firewalla pod kątem nietypowej poczty lub połączeń wychodzących i zmień hasło każdej skrzynki, która wysyłała nieoczekiwane wiadomości. O usunięcie z listy proś dopiero po usunięciu przyczyny, inaczej trafisz na nią ponownie. Czarna lista wskazuje Twój publiczny adres, który dzieli wiele urządzeń; NetSenX wykrywa beaconing i nietypowy ruch wychodzący dla każdego hosta, w każdym planie, co pomaga znaleźć to urządzenie.

Możliwe, więc sprawdź, zamiast to zbagatelizować. Wiele przypadków tłumaczy sprzęt: psująca się mysz, odbiornik bezprzewodowy łapiący inne urządzenie albo touchpad reagujący na rękaw. Drugie wyjaśnienie to zdalne sterowanie, przez Wasz dział wsparcia IT albo przez kogoś innego za pomocą narzędzia zdalnego dostępu. Zapytaj IT, czy ktoś był wtedy podłączony, przejrzyj zainstalowane programy i działające narzędzia zdalnej pomocy i sprawdź, czy potem pojawiły się nowe konta, zmiany haseł lub płatności. Jeśli nikt nie umie tego wyjaśnić, odłącz komputer od sieci, nie wyłączaj go i zadzwoń do firmy reagującej na incydenty. Narzędzia zdalnego sterowania potrzebują połączenia sieciowego, często z serwerem pośredniczącym producenta, więc ruch da się zobaczyć: NetSenX pokazuje połączenia tego komputera i wykrywa regularne połączenia z nowym zewnętrznym serwerem jako beaconing, w każdym planie.

Najpierw obserwuj, potem działaj, i to wszystko naraz. Napastnik, który zauważy, że ktoś patrzy, może usunąć dowody, przenieść się na inną maszynę albo wcześniej uruchomić szyfrowanie, więc unikaj głośnych kroków, takich jak reset hasła użytkownika czy pełne skanowanie, zanim masz plan. Najpierw zbierz po cichu, co się da: historię z konsoli ochrony punktów końcowych, logi firewalla i DNS oraz połączenia, które nawiązuje komputer. Razem z firmą reagującą na incydenty zdecyduj, które konta i hosty powstrzymać, a potem zrób to jednocześnie: izolacja, reset danych logowania z czystego urządzenia i blokada celów napastnika w tym samym krótkim oknie. Pracuj z czystego urządzenia i nie omawiaj incydentu przez skrzynkę, która może być przejęta. Sensor NetSenX na porcie SPAN lub TAP obserwuje, nie dotykając komputera, a jego alerty podają cele, czas i wolumen, których potrzebuje plan powstrzymania.