Thread Info
  • State Not Answered
  • +1 person also asked this people also asked this
  • Locked Locked
  • Replies 5 replies
  • Subscribers 7 subscribers
  • Views 3264 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Emotet Controll Server an UTM blockieren?

HansiMüller

Hallo zusammen, mal eine Frage an euch. Habt ihr an der Sophos die C&C Server von Emotet blockiert?

Im Netz habe ich eine Blacklist davon gefunden. Kann man die irgendwie in die UTM importieren?
Siehe hier: https://paste.cryptolaemus.com/emotet/2019/06/21/emotet-malware-IoCs_06-21-19.html

vielen Dank



This thread was automatically locked due to age.
  • 0

    Negativ Sir. Ich verlasse mich da auf IPS und ATP.

     

    Du kannst aber ja FW-Regeln definieren und die Kommunikation zu den Zielen blockieren.

  • 0

    Wie Thorsten schon sagte, tun IPS & ATP bereits gute Dienste.

    Ansonsten ist es auch möglich die IP's in einer Netzwerkgruppe zusammenzufassen und eine "Blackhole Route" zu bauen.

    Leider ist hier mit Import nicht viel zu machen.

    Innerhalb des Web-proxy können die Seiten importiert, mit einem "Tag" versehen und dieser dann geblockt werden.

    Wird der Proxy aber umgangen oder andere Ports verwendet, ist diese Maßnahme wirkungslos.


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

  • 0 in reply to dirkkotte

    ok vielen Dank an euch zwei!

    Grüße und einen schönen Tag!

  • 0 in reply to dirkkotte

    Moin,

     

    werden die IPs denn nicht ggf. bereits durch IPS & ATP gelistet und geblockt? Vielleicht ist eine doppelte Blockung ja unnötig. Wäre super, wenn sich jemand von Sophos melden könnte, ggf. sollte man die Frage mal im englischen Forum stellen :).

  • 0 in reply to ErikW

    Hi ErikW,

    IPS basiert auf SNORT Rules.Dort gibt es Emotet Rules.

    https://blog.snort.org/search/label/Emotet

    ATP blockt Zugriffsversuche zu bekannten CNC-Servern.

    ... aber das alles ist schwer prüfbar.

    Wenn man sich mit einem zusätzlichen Layer Sicherheit besser fühlt, ist es doch egal, wenn das alles (oder das meiste) bereits gefiltert werden würde.

     


    Dirk

    Systema Gesellschaft für angewandte Datentechnik mbH  // Sophos Platinum Partner
    Sophos Solution Partner since 2003
    If a post solves your question, click the 'Verify Answer' link at this post.

Unfiltered HTML