Давайте познакомимся со статьей trustedsec про использование встроенных VPN-клиентов в Windows.
Windows из коробки поддерживает клиенты для PPTP, L2TP, SSTP, IKev2 - не нужно приносить с собой сторонний клиент для организации доступа
🔭 Все не так страшно, мы можем относительно легко обнаружить такое поведение:
🔤 Доступ к файлу rasphone.pbk в:
%appdata%\Microsoft\Network\Connections\Pbk\
C:\Users\All Users\Microsoft\Network\Connections\Pbk\rasphone.pbk
C:\ProgramData\Microsoft\Network\Connections\Pbk\rasphone.pbk
предварительно нужно настроить DACL
🔤 Отслеживаем события:
Channel="Application" and ProviderName="RasClient" and (EventId = 20221 or EventId = 20222)
#detection@detectioneasy
#ttp@detectioneasy