Was ist langsame Datenexfiltration (Low and Slow), und wie wird sie erkannt?
Low-and-Slow-Exfiltration ist Datendiebstahl in kleinen Mengen über lange Zeit, sodass keine einzelne Übertragung auffällt: ein paar hundert Megabyte jede Mittagspause einen Monat lang oder ein stetiges Rinnsal in der Nacht, oft zu einem Cloud-Speicher, den viele legitim nutzen. Einfache Bandbreitenalarme übersehen das, weil sie nach Spitzen suchen. Erkannt wird es, indem man jeden Host über Tage und Wochen mit seiner eigenen Geschichte vergleicht: Ein Server, der mittags nie hochgeladen hat, tut es jetzt täglich, oder ein Arbeitsplatzrechner schickt zur selben Stunde ein wenig an dasselbe neue Ziel. Cloud-Speicher- und Proxy-Logs können es pro Benutzer zeigen. Achten Sie auf die Gesamtmenge pro Host und Ziel über eine Woche, nicht nur pro Stunde. NetSenX beurteilt ausgehende Mengen anhand der üblichen Ziele, Mengen und Tageszeiten jedes Hosts, in jedem Plan.
Weiterlesen
Verwandte Fragen
- Warum übersehen einfache Bandbreitenalarme Datendiebstahl?
- Wie sieht Cobalt-Strike-Aktivität im Netz aus?
- Sind interne Portscans ein Zeichen für einen Eindringling?
- Woran erkennen wir, dass jemand in unserem internen Netz Passwörter rät?
- Wie erkennen wir große Uploads von einem Server in einen Cloud-Speicher?