DETECTING DIRECTORY RECONNAISSANCE IN A DIRECTORY SERVICE

A system for detecting directory reconnaissance in a directory service includes a sensor and a directory reconnaissance detector, each of which is executing on one or more computing devices. The sensor determines whether a query that is submitted to a directory server is a suspicious query and, if the query is determined to be a suspicious query, transmits the suspicious query to the directory reconnaissance detector. The director reconnaissance detector includes a receiver, a context obtainer, an alert determiner and an alert transmitter. The receiver receives the suspicious query from the sensor and the context obtainer obtains context information associated with the suspicious query. The alert determiner determines whether a security alert should be generated based at least on the suspicious query and the context information. The alert transmitter generates the security alert responsive to a determination that the security alert should be generated. Un système de détection de reconnaissance de répertoire dans un service de répertoire comprend un capteur et un détecteur de reconnaissance de répertoire, chacun d'eux étant exécuté sur un ou plusieurs dispositifs informatiques. Le capteur détermine si une requête qui est soumise à un serveur de répertoire est une requête suspecte et, si la requête est déterminée comme étant une requête suspecte, transmet la requête suspecte au détecteur de reconnaissance de répertoire. Le détecteur de reconnaissance de répertoire comprend un récepteur, un dispositif d'obtention de contexte, un dispositif de détermination d'alerte et un émetteur d'alerte. Le récepteur reçoit la requête suspecte en provenance du capteur et le dispositif d'obtention de contexte obtient des informations de contexte associées à la requête suspecte. Le dispositif de détermination d'alerte détermine si une alerte de sécurité doit être générée sur la base au moins de la requête suspecte et des informations de contexte. L'émetteur d'alerte génère l'alerte de sécurité en réponse à une détermination que l'alerte de sécurité doit être générée.