Il rilevamento di un attacco informatico in corso è una componente essenziale di qualsiasi strategia di sicurezza. Tuttavia, sta diventando sempre più difficile individuare gli autori di attacchi malevoli che ottengono l’accesso ai sistemi informativi sfruttando le vulnerabilità del sistema di gestione delle identità, per poi muoversi furtivamente all’interno dell’ambiente — spesso senza essere individuati per settimane o mesi — prima di rilasciare malware. Per rilevare gli attacchi al sistema di gestione delle identità, molte aziende si affidano al consolidamento dei log degli eventi DC e alle soluzioni SIEM. Tuttavia, alcune tecniche di attacco non lasciano alcuna traccia di attività malevole.
In questa sessione, Tal Sarid illustrerà alcune tecniche di attacco che eludono le soluzioni di monitoraggio tradizionali.
Ne uscirete con delle linee guida per difendervi dagli attacchi informatici che non lasciano traccia:
- Capire come funzionano le tecniche di attacco più comuni che aggirano la registrazione, tra cui DCShadow, modifiche ai Criteri di gruppo (come nel caso del ransomware Ryuk) e attacchi Zerologon.
- Come proteggere proattivamente Active Directory dagli attacchi leave-no-trace concentrandosi sul traffico di replica dei DC per rilevare le modifiche ai Criteri di gruppo e le modifiche a oggetti specifici.
- Come annullare le modifiche dannose all'AD
- Come accelerare la risposta alle modifiche dannose una volta che sono state rilevate con un'analisi forense mirata
