Security
Wazuh – Scovare e prevenire attacchi ransomware – Part 3
Vediamo come definire alerting e trigger per avvisare e prevenire l’attacco ransomware in corso.
Vediamo come definire alerting e trigger per avvisare e prevenire l’attacco ransomware in corso.
Simuliamo un attacco di tipo ransomware sul nostro server e vediamo come Wazuh può aiutarci ad intercettare tale tipo di attacco.
Wazuh può rivelarsi utile anche nel rilevare in real-time attacchi di tipo ransomware.
In questo post vedremo come Wazuh possa reagire in maniera pro-attiva (nel momento in cui l’evento accade) ad un tentativo di attacco di tipo brute-force. Analizzeremo due casi:
Una parte molto importante del lavoro svolto da Wazuh è quello di reagire immediatamente all’attivazione di un alert, un livello di alert o un gruppo di regole; questa reazione viene chiamata active response.
In questo post familizzieremo con le regole di Wazuh; le regole sono mantenute da Wazuh Inc. e, essendo Wazuh un progetto open-source, ad esse contribuisce la community di Wazuh.
Le regole vengono utilizzate per rilevare attacchi, intrusioni, uso improprio del software, problemi di configurazione, errori di applicazioni, malware, rootkit, anomalie di sistema o violazioni delle security policy.
Analizziamo il report prodotto dalla fase di scansione alla ricerca di vulnerabilità. Abbiamo effettuato una scansione utilizzando come macchina target, una macchina con SO CentOS 6 senza nessuna patch installata. (more…)
Vediamo come utilizzare Wazuh per intercettare delle modifiche non autorizzate al nostro file system; nel caso di macchine Windows, possiamo anche controllare alterazione del registry.
Questa caratteristica viene identificata in genere come FIM (File Alteration Monitor).
Come già visto per l’ attacco SSH di tipo brute-force, vediamo come evidenziare un attacco di tipo RDP su un server Windows su cui è aperto/installato il servizio Terminal Server.