Comment détecter de gros envois d'un serveur vers un stockage cloud ?
Comparez le trafic sortant de chaque serveur à sa propre normale et regardez de près les destinations de stockage cloud. Beaucoup de serveurs n'ont jamais besoin d'envoyer grand-chose vers internet ; un serveur de base de données ou de fichiers qui envoie des gigaoctets vers un service de partage ou de stockage cloud est donc inhabituel en soi, et les avis sur les rançongiciels décrivent des outils comme Rclone utilisés exactement ainsi avant le chiffrement. Mesures pratiques : limitez les serveurs autorisés à joindre internet, journalisez les connexions sortantes sur le pare-feu ou le proxy et passez en revue chaque semaine les volumes par serveur vers le stockage cloud. Si vous utilisez officiellement un service cloud, séparez si possible sur le proxy ses destinations légitimes des comptes personnels. NetSenX détecte les volumes sortants inhabituels par hôte, avec destination et heure, dans chaque offre ; il ne voit ni le contenu des envois chiffrés ni le compte destinataire.
À lire ensuite
Questions liées
- Qu'est-ce que l'abus de PsExec ou des partages administratifs, et pourquoi l'antivirus ne le signale-t-il pas ?
- Des attaquants peuvent-ils se déplacer dans notre réseau avec des mots de passe volés et sans logiciel malveillant ?
- Faut-il détecter le mouvement latéral dans les journaux d'authentification ou dans les flux réseau ?
- Qu'est-ce que la détection du mouvement latéral fondée sur un graphe ?
- Les outils de sécurité à base de règles manquent-ils les nouveaux chemins d'attaque ?
← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes