¿Cómo distingo el tráfico legítimo a la nube del servidor alquilado por un atacante?

Mirando quién es el destino, cómo se comporta la conexión y si algo en su negocio la explica. A los atacantes les gustan los servidores alquilados en la nube porque cualquiera puede crear uno en minutos y la dirección pertenece a un proveedor de prestigio, así que el nombre del proveedor por sí solo no demuestra nada. Mejores preguntas: ¿coincide el destino con un servicio que usa, por su nombre en el handshake TLSTLS: Transport Layer Security. El cifrado que protege la mayor parte del tráfico de internet, como HTTPS. o en el DNS, y está ese servicio en su lista de proveedores? ¿Es la conexión regular, pequeña y a todas horas, como un programa que se reporta, en lugar de estar impulsada por personas en horario laboral? ¿Empezó justo después de algo inusual en ese equipo, como un programa nuevo o un inicio de sesión desde el extranjero? ¿Un servidor que normalmente solo recibe conexiones empieza de pronto a abrirlas hacia fuera? Un servicio legítimo de copias o de monitorización suele tener un destino documentado y un contrato; una máquina virtual desconocida a la que un puesto de trabajo contacta cada cinco minutos, no. NetSenX señala en todos los planes ese patrón de contacto regular, llamado beaconing, y el volumen saliente inusual, con el destino, para que pueda preguntar al responsable adecuado.

← Las 25 preguntas sobre Seguridad en la nube y SaaSTodos los temas