Wie unterscheide ich legitimen Cloud-Verkehr vom gemieteten Server eines Angreifers?
Indem Sie prüfen, wer das Ziel ist, wie sich die Verbindung verhält und ob etwas in Ihrem Geschäft sie erklärt. Angreifer mögen gemietete Cloud-Server, weil jeder in Minuten einen anlegen kann und die Adresse einem seriösen Anbieter gehört; der Anbietername allein beweist also nichts. Bessere Fragen: Passt das Ziel zu einem Dienst, den Sie nutzen, anhand seines Namens im TLSTLS: Transport Layer Security. Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.-Handshake oder im DNS, und steht dieser Dienst auf Ihrer Lieferantenliste? Ist die Verbindung regelmäßig, klein und rund um die Uhr, wie ein Programm, das sich meldet, statt von Menschen in der Arbeitszeit getrieben? Begann sie direkt nach etwas Ungewöhnlichem auf diesem Gerät, etwa einem neuen Programm oder einer Anmeldung aus dem Ausland? Öffnet ein Server, der sonst nur Verbindungen annimmt, plötzlich selbst welche nach außen? Ein legitimer Backup- oder Monitoringdienst hat meist ein dokumentiertes Ziel und einen Vertrag; eine unbekannte virtuelle Maschine, die ein Arbeitsplatz alle fünf Minuten kontaktiert, nicht. NetSenX meldet in jedem Plan das regelmäßige Melde-Muster, Beaconing genannt, und ungewöhnliches ausgehendes Volumen mit dem Ziel, damit Sie den richtigen Verantwortlichen fragen können.
Weiterlesen
Verwandte Fragen
- Welche unserer Server verbinden sich mit günstigen Cloud-Hostern, und warum?
- Können Angreifer Command-and-Control in vertrauenswürdigen Cloud-Diensten verstecken?
- Wie unterscheiden wir eine legitime Cloud-Synchronisierung von Datendiebstahl?
- Können wir sehen, ob ein ausscheidender Mitarbeiter Firmendaten in die Cloud lädt?
- Kann Ransomware die Dateien erreichen, die wir in der Cloud haben?
Begriffe auf dieser Seite
- TLS (Transport Layer Security)
- Die Verschlüsselung, die den Großteil des Internetverkehrs schützt, etwa HTTPS.