Dlaczego zwykła stacja robocza miałaby łączyć się w nocy z kontrolerem domeny?

Większość ruchu ze stacji roboczych do kontrolera domeny jest niegroźna: logowania, zasady grupy, synchronizacja czasu i rozwiązywanie nazw odbywają się przez całą dobę, także w nocy. Nienormalne jest otwarcie przez stację roboczą interaktywnej sesji zdalnej do kontrolera domeny, na przykład pulpitu zdalnego lub zdalnego zarządzania, albo korzystanie z jego udziałów administracyjnych, zwłaszcza z komputera osoby spoza IT i o godzinie, w której nikt nie pracuje. To typowy krok przed przejęciem katalogu przez napastnika, utworzeniem kont albo rozesłaniem ransomware wszędzie. Ogranicz dostęp administracyjny do kontrolerów domeny do kilku dedykowanych maszyn administracyjnych. NetSenX wykrywa takie nowe sesje administracyjne między hostami jako ruch lateralny w każdym planie, a od planu Pro łączy je ze skanowaniem, które często je poprzedza.

Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Techniki ataków w prostych słowach

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy