y
как минимум по тому как сложно атакующему обойти это правило
иными словами, если правило легко можно обойти, то его лучше не применять?
Size: a a a
2020 November 04
2020 November 05
$
иными словами, если правило легко можно обойти, то его лучше не применять?
Depends of
$
В сиеме смысл данного правила действительно под вопросом
EB
зато как можно себе kpi выкрутить бегая за запусками kali в сети
EB
инидент на инциденте и все предовтращены
BB
зато как можно себе kpi выкрутить бегая за запусками kali в сети
Ну как бы в обычной сети у подавляющего большинства кали/перрот/бларч че там еще не должны запускаться все ж
Z
Ну как бы в обычной сети у подавляющего большинства кали/перрот/бларч че там еще не должны запускаться все ж
👍
Z
а тот кто запускает...обязательно должен познакомиться с паяльником
$
а тот кто запускает...обязательно должен познакомиться с паяльником
Это вы все ради kpi выдумываете, безопасники
Z
Это вы все ради kpi выдумываете, безопасники
так и есть, я тут днс запросы к всяким калям палю..а оказывается kpi
D
Коллеги привет. Мои ребята написали статью про детектирование попыток эксплуатации Zerologon - https://habr.com/ru/company/bizone/blog/526168/
в событии 4742 нет поля TargetUserName, а то что выделено на скрине, то не юзернейм, а NetBIOS имя компа
D
так что правила вызывают вопросы
m
Это вы все ради kpi выдумываете, безопасники
Молодой человек,на этих ваших хацкерах кряках и закладках не заработаешь,а kpi сделал и жизнь удалась,100.1% плана выполнили,ура!
m
На самом деле kpi в около соке обычно удручает своей "кидай дальше бери больше"
HT
в событии 4742 нет поля TargetUserName, а то что выделено на скрине, то не юзернейм, а NetBIOS имя компа
Загляните пожалуйста в xml события для начала
HT
D
спасибо за подробности 😊
HT
В сиеме смысл данного правила действительно под вопросом
depends on 😉
HT
был кейс, когда кулхацкер пытался воспользоваться мимикатзом для эксплуатации Zerologon, но не удосужился прочитать доку к параметрам, из-за чего указывал совершенно не то имя в командной строке. Это приводило к генерации события 5723 со строкой mimikatz в message и все