Co oznacza usunięcie przyczyny (eradykacja) w reagowaniu na incydenty?

Eradykacja to całkowite usunięcie obecności napastnika, zanim przywrócisz systemy do pracy. Obejmuje usunięcie złośliwego oprogramowania i narzędzi, zamknięcie drogi wejścia, usunięcie kont, zaplanowanych zadań i oprogramowania zdalnego dostępu założonych przez napastnika, reset wszystkich danych logowania, które mogły wyciec, i załatanie wykorzystanych podatności. W praktyce odbudowa zaatakowanych maszyn z czystych obrazów jest często pewniejsza niż ich czyszczenie, bo trudno udowodnić, że znaleziono każdą zmianę. Eradykacja zawodzi, gdy jest częściowa: napastnik, który zachował jeden przyczółek, wraca, czasem po tygodniach. Trzeba ją zaplanować na podstawie dowodów z dochodzenia, a nie zgadywać. Obserwacja sieci po fakcie sprawdza, czy się udała: NetSenX wykrywa ponowny beaconing do znanych lub nowych zewnętrznych serwerów i nowe sesje lateralne, w każdym planie.

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy