Kann Netzwerküberwachung einen Backup-Upload von Datendiebstahl unterscheiden?
Meist ja, sobald sie das Backup kennt. Ein legitimes Backup oder eine Cloud-Synchronisierung läuft von bekannten Hosts zu bekannten Zielen zu festen Zeiten, mit ähnlichen Mengen Nacht für Nacht, und beginnt an dem Tag, an dem der Job eingerichtet wurde. Diebstahl unterscheidet sich meist in mindestens einem Punkt: ein Host, der nie hochlädt, ein neues Ziel, eine ungewöhnliche Uhrzeit oder eine Menge weit über dem Normalen dieses Hosts. Nutzt der Diebstahl denselben Cloud-Anbieter wie Ihre Backups, unterscheiden sich Konto und genaues Ziel, was ein Proxy oder die Logs des Anbieters besser zeigen als Flow-Daten. NetSenX vergleicht die Uploads jedes Hosts mit seiner eigenen Geschichte und erklärt den Alarm, sodass der nächtliche Backup-Job erkennbar bleibt; schlägt er doch an, markieren Sie ihn einmal als Fehlalarm, und die Entscheidung wird im Audit-Log festgehalten.
Weiterlesen
Verwandte Fragen
- Warum sollte sich ein normaler Arbeitsplatzrechner nachts mit dem Domänencontroller verbinden?
- Was ist ARP-Spoofing, und wie erkennen wir es in einem kleinen Büronetz?
- Kann jemand in unserem WLAN den Verkehr anderer Benutzer mitlesen?
- Wie viel Zeit bleibt uns, wenn Ransomware Dateifreigaben zu bearbeiten beginnt?
- Können wir sehen, welches Programm auf einem Server einen großen Upload ausgelöst hat?