איך זה עובד
בקורס בניתם זיהוי על מארחים ועל בקרי דומיין: Event ID, Sigma, Microsoft Defender for Identity. זה הבסיס הנכון, אבל יש לו שתי מגבלות — אפשר לכבות מארח ואפשר לנקות יומנים. שכבת הרשת רואה אחרת: החבילות אינן תלויות בשאלה אם היומן על ה־ נקי.
- Event ו־Sigma — הזיהוי על ה־; שכבת הרשת היא שכבת גיבוי כשהיומן נוקה.
- , ו־ — לכל אחת יש עקבות רשת שונות (הפניות מרובות, רפליקציה לא מוכרת, שעות חריגות).
- Defender for Identity — משלים את : זהות מול תעבורה, שני מקורות בלתי תלויים.
הנוסחה של השיעור: זיהוי התקפות על = יומני (דיוק) + התנהגות מארחים (EDR) + סגמנטציית רשת (הגבלת נזק). Fortinet סוגר את השכבה השנייה והשלישית.
סגמנטציה «לפי Tiers» עם קבוצות . צרו ממשקים/VLAN: Workstations, Servers-T1, Infra-T0, והגדירו איסור SMB/RDP/WinRM מהתחנות לשרתים ולתשתית: