¿Cuáles son las primeras señales de ransomware en una red?

Conexiones regulares de un puesto de trabajo a un servidor externo nuevo, un equipo que escanea rangos internos en busca de puertos SMB, RDP o de bases de datos, sesiones de administrador nuevas hacia muchos servidores y una gran subida a la nube desde un servidor que normalmente envía poco. Suelen aparecer en ese orden, antes de que se cifre ningún archivo.