Qendrat e operacioneve të sigurisë (SOC) përballen me shumë alarme, por pak prej tyre shpjegojnë si nisi dhe si u zhvillua një sulm. Shqyrtimi vetëm i ngjarjes që aktivizoi alarmin mund të lërë pa zbuluar veprimtarinë e mëparshme të ndërhyrësve.
Sulmuesit mund të qëndrojnë për ditë ose javë në rrjet, duke përdorur mjete administrimi dhe kredenciale të vlefshme. Ata mund të hartëzojnë përdorues e sisteme përmes LDAP, të kërkojnë bileta shërbimi Kerberos për të thyer kredenciale jashtë rrjetit dhe të lëvizin mes pajisjeve përmes SMB ose RDP. Të dhënat e mbledhura mund të nxirren përmes HTTPS ose DNS, me trafik që ngjan me aktivitetin normal.
Veprime të tilla, të marra veçmas, mund të mos duken të dyshimta. Rëndësia e tyre bëhet më e qartë kur lidhen në kohë kërkesat ndaj shërbimeve të brendshme, autentikimet, sesionet SMB dhe lidhjet me destinacione të jashtme. Mjetet që shohin vetëm pjesë të aktivitetit rrezikojnë të humbasin tablonë e plotë.
Të dhënat nga platformat e zbulimit dhe reagimit në rrjet (NDR) ndihmojnë në rindërtimin e kësaj kronologjie. Ruajtja e telemetrisë dhe e hollësive të protokolleve u mundëson analistëve të shqyrtojnë ndërveprimet pas një alarmi, pa e trajtuar çdo lidhje si incident. AI përshpejton sulmet, por analiza mbrojtëse me AI kërkon gjithashtu prova të hollësishme nga rrjeti.
Burimi: The Hacker News — lexoni artikullin e plotë në anglisht.
