Wie erkennen wir große Uploads von einem Server in einen Cloud-Speicher?
Vergleichen Sie den ausgehenden Verkehr jedes Servers mit seinem eigenen Normalzustand und sehen Sie bei Cloud-Speicherzielen genau hin. Viele Server müssen nie viel ins Internet senden; ein Datenbank- oder Dateiserver, der Gigabytes zu einem Filesharing- oder Cloud-Speicherdienst hochlädt, ist daher schon für sich ungewöhnlich, und Ransomware-Warnungen beschreiben Werkzeuge wie Rclone, die genau so vor der Verschlüsselung eingesetzt werden. Praktische Schritte: Beschränken Sie, welche Server überhaupt ins Internet dürfen, protokollieren Sie ausgehende Verbindungen an Firewall oder Proxy und prüfen Sie wöchentlich die Mengen pro Server zu Cloud-Speichern. Wo Sie einen Cloud-Dienst offiziell nutzen, trennen Sie dessen legitime Ziele am Proxy nach Möglichkeit von privaten Konten. NetSenX erkennt ungewöhnliche ausgehende Datenmengen pro Host mit Ziel und Zeitpunkt in jedem Plan; den Inhalt verschlüsselter Uploads oder das Zielkonto sieht es nicht.
Weiterlesen
Verwandte Fragen
- Was ist der Missbrauch von PsExec oder Admin-Freigaben, und warum meldet der Virenschutz ihn nicht?
- Können sich Angreifer mit gestohlenen Passwörtern und ohne Schadsoftware durch unser Netz bewegen?
- Sollten wir laterale Bewegung über Authentifizierungs-Logs oder über Netzflüsse erkennen?
- Was ist graphbasierte Erkennung lateraler Bewegung?
- Übersehen regelbasierte Sicherheitswerkzeuge neue Angriffswege?