Основная сложность с такими сканерами – статус легального ПО: их нельзя автоматически блокировать как вредоносы, иначе вы заблокируете и легитимное использование сотрудниками. Наша рекомендация: любое использование этих инструментов должно рассматриваться как инцидент и приводить к соответствующему реагированию. Но нужно особо обращать внимание на такие детали:
– Нерабочее время: ночь, выходные и праздники.
– Подозрительный путь запуска: например,
\ProgramData\x64\netscan.exe– Учётная запись, от имени которой запущен сканер. Рядовой сотрудник не должен сканировать сеть. Использование локального админа, а не доменной учётки, тоже кажется подозрительным (атакующие ещё не поднялись до домен-админа и начали сканировать сеть).
– Система/сервер, где был зафиксирован запуск. Обращайте внимание на сервера, которые могут быть потенциально начальной точкой компрометации, опубликованные сервера (Exchange, терминальные сервера, IIS, ...), а также контроллеры домена.
– Запуск сканера в контексте терминальной сессии (RDP, AnyDesk, ...) c одной внутренней системы (и из удалённых сессий – VPN) на другую внутреннюю систему.
Больше про использование легитимного софта атакующими расскажем в ежегодном отчёте нашей команды Incident Response. Скоро опубликуем!