¿Qué es la exfiltración lenta (low and slow) y cómo se detecta?
La exfiltración lenta consiste en robar datos en pequeñas cantidades durante mucho tiempo, de modo que ninguna transferencia por separado parezca inusual: unos cientos de megabytes cada hora de comer durante un mes, o un goteo constante de noche, a menudo hacia un servicio de almacenamiento en la nube que mucha gente usa legítimamente. Las alarmas sencillas de ancho de banda no la ven, porque buscan picos. Se detecta comparando cada equipo con su propia historia a lo largo de días y semanas: un servidor que nunca subía nada a mediodía ahora lo hace a diario, o un puesto envía un poco al mismo destino nuevo a la misma hora. Los registros del almacenamiento en la nube y del proxy pueden mostrarlo por usuario. Vigile el total enviado por equipo y destino en una semana, no solo por hora. NetSenX valora el volumen saliente frente a los destinos, volúmenes y horas habituales de cada equipo, en todos los planes.
Siga leyendo
Preguntas relacionadas
- ¿Por qué las alarmas sencillas de ancho de banda no detectan el robo de datos?
- ¿Qué aspecto tiene en la red la actividad de Cobalt Strike?
- ¿Es un escaneo de puertos interno señal de un intruso?
- ¿Cómo sabemos si alguien está intentando adivinar contraseñas en nuestra red interna?
- ¿Cómo detectamos subidas grandes desde un servidor a un almacenamiento en la nube?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas