Nederlands
Menu

Cyberaanvallen en verdediging in de praktijk

Bij onderzoek van de registratie van het verkeer op een intern netwerk is het volgende verkeer gevonden. Welk verkeer wijst het sterkst op malware die communiceert met een externe commandoserver (C2-server)?

  1. ATijdens kantooruren maken de pc's van veel medewerkers verbinding met een interne bestandsserver en lezen en schrijven ze gedeelde bestanden
  2. BOp een vaste dag per maand ontvangen veel pc's grote updatebestanden van de officiële updateserver van de leverancier van het besturingssysteem
  3. CEén enkele pc stuurt ook 's nachts en in het weekend ongeveer elke 60 seconden herhaaldelijk kleine hoeveelheden verkeer naar een onbekend, pas geregistreerd domein
Antwoord en toelichting tonen

Antwoord: C. Eén enkele pc stuurt ook 's nachts en in het weekend ongeveer elke 60 seconden herhaaldelijk kleine hoeveelheden verkeer naar een onbekend, pas geregistreerd domein

Malware maakt vanaf het besmette eindpunt regelmatig verbinding met een externe C2-server (command and control) om instructies te ontvangen en resultaten te versturen. Deze regelmatige verbindingen heten beacons; kenmerkend is dat er, los van menselijke activiteit, met vrijwel constante tussenpozen klein verkeer blijft lopen. Een doeldomein dat pas kort geleden is geregistreerd of waarover geen reputatie-informatie bestaat, is een extra aanwijzing die het vermoeden versterkt. Aanvallers proberen detectie echter te ontlopen door willekeurige variatie (jitter) in de tussenpozen aan te brengen of via legitieme clouddiensten te communiceren, en daarom wordt de registratie van het verkeer samen met de eindpuntinformatie onderzocht die EDR verzamelt.

Dit onderwerp oefenen Naar de onderwerppagina

Meer vragen over Cyberaanvallen en verdediging in de praktijk

  1. Een aanvaller die een kwetsbaarheid in een webapplicatie heeft uitgebuit, kan nu opdrachten uitvoeren met dezelfde gewone gebruikersrechten als het webserverprogramma. Welke van de volgende is een voorbeeld van de „privilege-escalatie” die de aanvaller daarna uitvoert?
  2. Welke maatregel is het meest passend om „laterale beweging” te bemoeilijken, dat wil zeggen dat een compromittering zich uitbreidt van één overgenomen pc van een medewerker naar andere pc's en servers binnen het bedrijf?
  3. De techniek waarbij een indringer zo min mogelijk eigen malware gebruikt en werkt met legitieme hulpmiddelen die al in het besturingssysteem aanwezig zijn, zoals PowerShell, WMI en de standaardfuncties voor beheer op afstand, heet „living off the land”. Welke denkwijze over tegenmaatregelen tegen deze techniek is het meest passend?
  4. Welke beschrijving van toegangscontrole op basis van het idee van zero trust is juist?
  5. De zero-trustarchitectuur van NIST SP 800-207 scheidt het „policy decision point (PDP)”, dat beslist of toegang wordt toegestaan, van het „policy enforcement point (PEP)”, dat de beslissing uitvoert. Welke beschrijving van de werking van beide wanneer een medewerker een bedrijfsapplicatie gebruikt, is juist?