Dlaczego agenty aktualizacji i narzędzia monitorujące wyglądają jak beaconing?
Bo zachowują się tak samo: łączą się z serwerem w regularnych odstępach, w dzień i w nocy, by sprawdzić aktualizacje, zgłosić stan lub pobrać konfigurację. Robią tak agenty kopii zapasowych, antywirusy, narzędzia zdalnego zarządzania, synchronizacja czasu i wiele aplikacji biznesowych. Dlatego proste reguły oparte wyłącznie na regularności dają dużo szumu. Złośliwe oprogramowanie odróżnia kontekst: cel, z którego nikt inny w firmie nie korzysta, niedawno zarejestrowana domena lub wynajęty serwer, urządzenie, które nie ma powodu uruchamiać takiego oprogramowania, rytm, który zaczął się konkretnego dnia, albo ruch niepasujący do programu, który host ma uruchamiać. NetSenX ocenia beaconing względem własnej historii każdego hosta i jego celu, wyjaśnia każdy alert i pozwala oznaczyć znane oprogramowanie jako false positive, a decyzja trafia do dziennika audytu.
Czytaj dalej
Powiązane pytania
- Czym jest tunelowanie DNS?
- Czy dane mogą zostać skradzione przez DNS tak, że nikt tego nie zauważy?
- Czy złośliwe oprogramowanie może ukryć się w DNS over HTTPS i czy wciąż je zobaczymy?
- Czym jest powolne wyprowadzanie danych (low and slow) i jak się je wykrywa?
- Dlaczego proste alarmy przepustowości nie wychwytują kradzieży danych?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy