Czym jest gromadzenie danych (collection) w MITRE ATT&CK?

Collection to zbieranie przez napastnika danych, których chce, zanim je wyprowadzi: kopiowanie plików z udziałów w jedno miejsce, pakowanie ich w archiwa, czytanie skrzynek pocztowych, eksport bazy danych, robienie zrzutów ekranu. Często objawia się jako jeden host, który nagle czyta z serwerów plików lub baz danych znacznie więcej niż kiedykolwiek, czasem w nocy, po czym następuje przerwa na tworzenie archiwów. Logi audytowe plików i baz danych pokazują, co odczytano, a narzędzia ochrony punktów końcowych widzą tworzenie archiwów. W sieci gromadzenie wygląda jak nowe sesje z tego hosta do wielu serwerów plików, a kolejny krok, wyprowadzanie danych, jak nietypowy wolumen wychodzący z niego. Ogranicz, kto co może czytać, zwłaszcza konta serwisowe z szerokim dostępem do plików. NetSenX wykrywa nowe sesje między hostami i nietypowy wolumen danych wychodzących dla każdego hosta w każdym planie; nie widzi, które pliki odczytano w szyfrowanych sesjach.

Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Techniki ataków w prostych słowach

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy