Czym jest nadużycie PsExec lub udziałów administracyjnych i dlaczego antywirus tego nie zgłasza?
PsExec i podobne narzędzia uruchamiają polecenia na zdalnym komputerze, kopiując małą usługę przez jego administracyjne udziały plików i ją uruchamiając, a protokoły zdalnego zarządzania, takie jak WinRM i pulpit zdalny, wykonują podobną pracę. Administratorzy używają ich codziennie, dlatego antywirus zwykle je przepuszcza: narzędzie jest podpisane i legalne, a nie pasuje tylko kontekst. Napastnicy używają ich, by rozprzestrzeniać się z jednej maszyny na wiele, wypchnąć ransomware na wszystkie serwery naraz albo uruchamiać skrypty ze skradzionymi poświadczeniami administratora. Zdradza ich to, kto, skąd i kiedy ich używa: stacja robocza otwierająca o 1:30 sesje administracyjne do serwerów, z których nigdy nie korzystała, albo jedno konto dotykające dziesiątek hostów w ciągu kilku minut. Ogranicz, które maszyny mogą administrować innymi. NetSenX wykrywa takie nowe sesje administracyjne między hostami jako ruch lateralny w każdym planie.
Czytaj dalej
Powiązane pytania
- Czy napastnicy mogą poruszać się po naszej sieci ze skradzionymi hasłami i bez złośliwego oprogramowania?
- Ruch lateralny lepiej wykrywać w logach uwierzytelniania czy w przepływach sieciowych?
- Czym jest wykrywanie ruchu lateralnego oparte na grafie?
- Czy narzędzia oparte na regułach przeoczają nowe ścieżki ataku?
- Dlaczego drukarka miałaby skanować naszą sieć i czy drukarki mogą służyć do ataku na inne komputery?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy