Qu'est-ce que l'exfiltration lente (low and slow), et comment la détecter ?

L'exfiltration lente consiste à voler des données par petites quantités sur une longue période, pour qu'aucun transfert isolé ne paraisse inhabituel : quelques centaines de mégaoctets à chaque pause déjeuner pendant un mois, ou un filet continu la nuit, souvent vers un service de stockage cloud que beaucoup utilisent légitimement. Les alarmes de bande passante simples la manquent, car elles cherchent des pics. On la repère en comparant chaque hôte à son propre historique sur des jours et des semaines : un serveur qui n'envoyait jamais rien à midi le fait désormais chaque jour, ou un poste envoie un peu vers la même nouvelle destination à la même heure. Les journaux du stockage cloud et du proxy peuvent le montrer par utilisateur. Surveillez le total envoyé par hôte et par destination sur une semaine, pas seulement par heure. NetSenX juge les volumes sortants au regard des destinations, volumes et heures habituels de chaque hôte, dans chaque offre.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes