Historia prawdziwa, statystycznie rzecz biorąc
O 03:14 ktoś stał się Twoim dyrektorem finansowym.
Skradziony token. Maszyna, której nigdy nie widziałeś. Czterysta dokumentów do wschodu słońca - i ani jednego alarmu, bo każde zdarzenie z osobna wyglądało na prawidłowe. Ta strona odtwarza włamanie, które Twoje narzędzia by przespały. Przewiń.
- 03:14 logowanie
- 03:16 nieznane urządzenie
- 03:17 ASN dostawcy hostingu
- 03:20 przekroczona norma
- 06:05 zasięg strat
- 06:12 dostęp odcięty
Rekonstrukcja
- 03:14
Loguje się prawidłowy token
Bez hasła, bez MFA, bez alertu. Poświadczenie jest prawdziwe - na tym polega cała sztuczka. Twój EDR nigdy nie widział tej maszyny, więc nie ma nic do powiedzenia.
- 03:16
Maszyna, której nie powinno być
Nigdy nie zarejestrowana, nigdy nie uwierzytelniona - sięga po dane bez żadnego zaobserwowanego logowania. 1Security klasyfikuje ją jako urządzenie-widmo: odtworzone z realnej aktywności, powiązane stabilnym odciskiem, z definicji niewidoczne dla Intune.
- 03:17
Źródło, które nie pasuje
ASN dostawcy hostingu w kraju, w którym nie działacie. Lokalizacje tłumaczą każdą akcję na kraj, miasto i sieć - z odfiltrowanym szumem centrów danych Microsoftu, więc to źródło naprawdę coś znaczy.
- 03:20
Cztery razy większy apetyt niż zwykle
Aktywność plikowa przebija 30-dniową normę tego konkretnego konta. Anomalie otwierają epizod - normy per użytkownik, epizody zamiast zdarzeń i próg alarmu, który ustawiasz sam.
- 06:05
Zasięg strat, co do pliku
Które 340 plików, które dwa konta, które sesje, skąd. Atrybucja każdej akcji na trzyletniej pamięci - dochodzenie, które kiedyś było 12 godzinami sklejania logów, zamyka się w 10 minut.
- 06:12
Odcięte, wstrzymane, udokumentowane
Dostęp odebrany, linki wygaszone, każda akcja zapisana w rejestrze przeglądu. Odbieranie złożone rozumie graf uprawnień - nadania bezpośrednie, linki, grupy, witryny - i pyta, zanim tknie coś, co dotknęłoby innych.
Epilog
Twoje narzędzia widziały to wszystko. Po prostu nie miały powodu się przejąć.
Każde zdarzenie z tej historii było gdzieś w logu. Logowanie było prawidłowe, urządzenie milczało, źródło było adresem IP, którego nikt nie rozwiązał, a wolumen pobrań - liczbą bez punktu odniesienia. Włamanie nie było niewidzialne. Było nieposkładane.
Nie sprzedajemy strachu. Sprzedajemy wzrok: te same zdarzenia, złożone w jedną historię - kiedy wciąż jest 03:20, a nie następny ranek.
Odtwórz to na własnym tenancie.
Podłącz w trybie odczytu i zobacz, jak naprawdę wyglądało ostatnie 90 dni - z urządzeniami-widmami, dziwnymi źródłami i przekroczonymi normami.