Na co zwrócić uwagę w naszej sieci po włamaniu u partnera lub firmy z branży?
Na każde połączenie z tą firmą i na wszystko, co nowe. Zacznij od tego, co was łączy: wspólne tunele VPN, konta zdalnego dostępu, których używa w Twoich systemach, wymiana plików, wątki e-mail i współdzielone foldery w chmurze. Zawieś lub zmień te dane logowania, dopóki partner nie potwierdzi, czego dotyczył incydent, i ostrożnie traktuj jego e-maile z prośbą o zmianę danych do płatności, bo napastnicy wykorzystują skradzione wątki korespondencji. Jeśli komunikat lub oświadczenie partnera podaje wskaźniki kompromitacji, takie jak adresy IP, domeny lub skróty plików, poszukaj ich w logach firewalla, proxy i DNS z kilku ostatnich tygodni. Potem obserwuj zachowanie: hosty, które nagle łączą się w regularnych odstępach z nowymi zewnętrznymi serwerami, skanowanie, nietypowe wysyłki danych. NetSenX wykrywa je w każdym planie, a jego mapa sieci pokazuje, kto z kim się komunikuje w monitorowanych segmentach.
Czytaj dalej
Powiązane pytania
- W zeszłym roku mieliśmy incydent. Jak upewnić się, że wykrylibyśmy go, gdyby się powtórzył?
- Dlaczego firmy tak często dowiadują się o włamaniu od kogoś z zewnątrz?
- Jak odróżnić atak sieciowy od dużej aktualizacji lub kopii zapasowej?
- Skąd wiedzieć, jak wygląda norma w naszej sieci?
- Czym jest wskaźnik kompromitacji (IOC)?
← Wszystkie pytania (35): Czy zostałem zhakowany?Wszystkie tematy