Удалённый доступ как источник данных для ИБ: от сессии администратора до расследования инцидента

Для ИТ-поддержки удалённый доступ — рабочий инструмент: подключиться к компьютеру пользователя, разобраться, поправить настройки и отключиться. Сессия закрыта, заявка тоже. Для ИБ это выглядит несколько иначе. Каждое удалённое подключение потенциально оставляет набор событий: кто подключился, к какому устройству, когда началась сессия, какие права использовались, какие действия выполнялись, передавались ли файлы, какие изменения произошли после этого. Если эти события связать между собой, систе…

Полный текст не публикуется. Источник: Habr