Dlaczego napastnicy używają legalnych narzędzi zdalnego dostępu?

Bo są zaufane. Narzędzia zdalnej pomocy i zdalnego zarządzania są podpisane, powszechnie instalowane i przepuszczane przez firewalle, więc antywirus rzadko je zgłasza, a ich ruch trafia do chmury producenta jak każda legalna sesja. Napastnicy instalują je po wejściu albo nadużywają już obecnych, by utrzymać dostęp, który przetrwa zmianę hasła. Komunikaty CISA o grupach takich jak Akira i Medusa opisują właśnie takie użycie oprogramowania zdalnego dostępu. Prowadź listę narzędzi, z których firma rzeczywiście korzysta, blokuj instalację innych, wymagaj uwierzytelniania wieloskładnikowego (MFA) dla dopuszczonych i usuwaj te, których nikt nie potrzebuje. W sieci nieoczekiwane narzędzie widać jako host regularnie łączący się z dostawcą zdalnego dostępu, z którego nigdy wcześniej nie korzystał. NetSenX wykrywa takie nowe regularne połączenia jako beaconing w każdym planie; decyzja, czy narzędzie jest zatwierdzone, należy do Ciebie.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy