Comment distinguer un trafic cloud légitime du serveur loué par un attaquant ?

En regardant qui est la destination, comment se comporte la connexion et si quelque chose dans votre activité l'explique. Les attaquants apprécient les serveurs cloud loués, car n'importe qui peut en créer un en quelques minutes et l'adresse appartient à un fournisseur réputé : le nom du fournisseur seul ne prouve donc rien. De meilleures questions : la destination correspond-elle à un service que vous utilisez, d'après son nom dans la négociation TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. ou le DNS, et ce service figure-t-il dans votre liste de fournisseurs ? La connexion est-elle régulière, légère et permanente, comme un programme qui se signale, plutôt que portée par des humains aux heures de travail ? A-t-elle commencé juste après un événement inhabituel sur cet appareil, comme un nouveau programme ou une connexion depuis l'étranger ? Un serveur qui ne fait d'habitude que recevoir des connexions en ouvre-t-il soudain vers l'extérieur ? Un service légitime de sauvegarde ou de supervision a en général une destination documentée et un contrat ; une machine virtuelle inconnue contactée toutes les cinq minutes par un poste de travail, non. NetSenX signale dans chaque offre ce motif de contact régulier, appelé beaconing, et les volumes sortants inhabituels, avec la destination, pour que vous puissiez interroger le bon responsable.

← Les 25 questions sur Sécurité du cloud et du SaaSTous les thèmes