Comment saurions-nous que la base de données de notre ERP a été copiée hors de l'entreprise ?
En regardant ce que le serveur de base de données a envoyé vers l'extérieur, pas la base elle-même. Un export ERP de clients, de prix ou de paie est volumineux, et le serveur qui l'héberge parle normalement à l'application ERP, au système de sauvegarde et à quelques utilisateurs, pas à internet. Les signes sont un gros transfert sortant depuis ce serveur, ou depuis un poste qui vient de tirer un export important, surtout la nuit ou vers un stockage cloud ; un fichier de vidage de base apparu sur un partage ; ou une nouvelle session à distance vers le serveur peu avant. Limitez l'accès à internet des serveurs de bases de données et journalisez les exports dans l'ERP lui-même. NetSenX détecte les volumes sortants inhabituels par hôte, avec destination et heure, dans chaque offre ; il ne voit pas quelles tables se trouvaient dans un transfert chiffré.
À lire ensuite
Questions liées
- La surveillance réseau peut-elle distinguer un envoi de sauvegarde d'un vol de données ?
- Pourquoi un poste de travail ordinaire se connecterait-il la nuit au contrôleur de domaine ?
- Qu'est-ce que l'usurpation ARP (ARP spoofing), et comment la détecter sur un petit réseau de bureau ?
- Quelqu'un connecté à notre Wi-Fi peut-il lire le trafic des autres utilisateurs ?
- De combien de temps disposons-nous quand le rançongiciel commence à toucher les partages de fichiers ?
← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes