Chasse : force brute et pulvérisation de mots de passe
La table auth_events contient les authentifications VPN et SSH d'hier.
- Force brute : adresses ayant plus de 10 échecs — colonnes
src_ip, nombre d'échecs - Pulvérisation (password spraying) : adresses ayant échoué sur au moins 5 comptes différents — colonnes
src_ip, nombre de comptes distincts - Un compte a été compromis par la pulvérisation (succès depuis la même adresse) →
answer compromis <compte> - Identifiant MITRE ATT&CK de la pulvérisation de mots de passe →
answer technique <Txxxx.xxx>
Contenu Premium
Ce contenu est inclus dans l'offre Premium. Le titre et le résumé restent visibles pour vous aider à choisir.
Tâches
- Force brute détectée
- Pulvérisation détectée
- Compte compromis
- Technique ATT&CK