Co się dzieje, gdy napastnicy wyłączą nasz EDR?

Stacja milknie, a narzędzie na stacji nie zgłosi własnego milczenia, więc potrzebujesz drugiego świadka. Wyłączenie lub odinstalowanie ochrony stacji końcowych to częsty wczesny krok intruzów i operatorów ransomware, wykonywany skradzionymi uprawnieniami administratora albo przez podatny sterownik. Od tej chwili konsola może pokazywać maszynę jako offline albo po prostu przestać dostawać z niej zdarzenia. Pomagają dwie rzeczy. Po pierwsze, traktuj milczącego agenta jak incydent: ustaw w konsoli EDREDR: endpoint detection and response (ochrona punktów końcowych). Oprogramowanie bezpieczeństwa instalowane na każdym komputerze, które obserwuje, co dzieje się na tej maszynie. alert o agentach, które przestały raportować, i sprawdź, kto ma prawo je odinstalować. Po drugie, obserwuj sieć, której napastnik nie wyłączy z tej jednej maszyny. NetSenX nadal widzi zachowanie hosta, cokolwiek stanie się z jego EDR: beaconing, skanowanie, ruch lateralny i nietypowe wysyłanie danych. Nie widzi stanu samego EDR, więc nie powie Ci, że agent przestał działać; powie, co maszyna robi dalej.

← Wszystkie pytania (40): NDR, EDR, SIEM, XDR, MDRWszystkie tematy