Czym jest wskaźnik kompromitacji (IOC)?

Wskaźnik kompromitacji to ślad sugerujący, że system został zaatakowany: adres IP lub domena znane z użycia przez napastników, skrót (hash) złośliwego pliku, podejrzana nazwa pliku, odcisk TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS. znanego klienta złośliwego oprogramowania albo zmiana konfiguracji, którą wprowadza malware. Publikują je komunikaty CISA, krajowych zespołów CERT i badaczy bezpieczeństwa, żeby inni mogli przeszukać własne logi. Są przydatne, ale krótkotrwałe: napastnicy zmieniają serwery i rekompilują narzędzia, więc adres złośliwy w zeszłym miesiącu może dziś należeć do kogoś niewinnego. Dlatego wskaźniki uzupełniają obserwację zachowania, a nie ją zastępują. Przeszukaj logi firewalla, proxy i DNS pod kątem wskaźników z każdego komunikatu, który Cię dotyczy. Od planu Starter NetSenX porównuje handshake TLS z odciskami znanego malware tam, gdzie agent przechwytuje pakiety, na Linuksie lub jako sensor SPANSPAN: switch port analyser (port lustrzany). Ustawienie przełącznika, które wysyła kopię ruchu na jeden port, gdzie może go obserwować sensor./TAPTAP: test access point. Małe urządzenie, które kopiuje ruch z kabla sieciowego dla sensora., a zachowania takie jak beaconing wykrywa w każdym planie.

← Wszystkie pytania (35): Czy zostałem zhakowany?Wszystkie tematy