¿Cómo detectamos subidas grandes desde un servidor a un almacenamiento en la nube?
Compare el tráfico saliente de cada servidor con su propia normalidad y fíjese bien en los destinos de almacenamiento en la nube. Muchos servidores nunca necesitan enviar mucho a internet, así que un servidor de bases de datos o de archivos que sube gigabytes a un servicio de intercambio de archivos o de almacenamiento en la nube ya es inusual por sí mismo; los avisos sobre ransomware describen herramientas como Rclone usadas exactamente así antes del cifrado. Pasos prácticos: limite qué servidores pueden salir a internet, registre las conexiones salientes en el cortafuegos o el proxy y revise cada semana los volúmenes por servidor hacia almacenamiento en la nube. Si usa oficialmente un servicio en la nube, separe en el proxy sus destinos legítimos de las cuentas personales cuando pueda. NetSenX detecta volúmenes salientes inusuales por equipo, con destino y hora, en todos los planes; no ve el contenido de las subidas cifradas ni a qué cuenta fueron.
Siga leyendo
Preguntas relacionadas
- ¿Qué es el abuso de PsExec o de los recursos compartidos administrativos, y por qué no lo señala el antivirus?
- ¿Pueden los atacantes moverse por nuestra red con contraseñas robadas y sin malware?
- ¿Debemos detectar el movimiento lateral con los registros de autenticación o con los flujos de red?
- ¿Qué es la detección del movimiento lateral basada en grafos?
- ¿Pasan por alto las herramientas basadas en reglas los caminos de ataque nuevos?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas