שירות התעודות קיבל בקשה

מה זה אומר

מישהו ביקש תעודה משרת ה־CA (AD CS). לבד זה תקין — אבל זו נקודת הכניסה של מתקפות ESC1: בקשה עם שם של משתמש אחר (SAN).

צעדים ראשונים

1. 1האירוע נרשם על שרת ה־CA — ודא שהביקורת (Audit) מופעלת שם.
2. 2השווה את המבקש (Requester) לשם שבתעודה (SAN).
3. 3בקשות מתבנית פגיעה מחשבון רגיל = חשד.