так при его сносе алерт админу прилетит, как и на сентинеле и любом другом едр. сентинель вообще может комп отрубить от сети при его сносе. в свое время сносил киллсвитчем от комодо, но нужен будет ребут тачки.
-
XSS.stack #1 – первый литературный журнал от юзеров форума
AV\EDR AV Crowd Strike
- Автор темы heis
- Дата начала
раньше у риза было. когда была связка с 1дей лпе. сейчас свой чистый лпе нужен.
дальше либо грубо убиваем целиком с алертами и все в темпе вальса.
либо глушим без алертов киллером и только тогда дампим. сделать дамп при активном крауде не получится. он пасет все извесиные да и неизвестные техники.
Так без алертов не получится, ты в любом случаии оставишь лог отключения ав, если у орги есть крауд то и маномальский монниторинг настроен у них, а такие инцы всегда с повышенным приорететом
глушим = он в памяти "работает", алертов нет.