# Si può rilevare un malware solo dalle statistiche di flusso?

Spesso sì, perché un malware deve comportarsi in certi modi per essere utile, e quel comportamento si vede nei flussi. I record di flusso descrivono ogni connessione: sorgente e destinazione, porte, ora di inizio, durata, byte e pacchetti in ciascuna direzione. Un dispositivo compromesso che contatta il proprio server di controllo a intervalli regolari produce un ritmo riconoscibile, il beaconing; uno che esplora la rete tocca molti host e porte interni in poco tempo, cioè scansione e movimento laterale; uno che ruba dati invia molto più del solito, spesso di notte. Nulla di questo richiede di decifrare, e la ricerca sull'analisi del traffico cifrato mostra da anni che gli schemi di tempo e dimensione portano molta informazione. I limiti: una singola connessione a un noto servizio cloud può sembrare innocua, e gli attaccanti pazienti cercano di confondersi. Per questo l'analisi dei flussi funziona meglio rispetto a una linea di base di ciò che è normale per ogni dispositivo. NetSenX rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, anche Free.

FAQ: [Crittografia e traffico cifrato](https://netsenx.com/it/faq/encryption) · https://netsenx.com/it/faq/can-malware-be-detected-from-flow-statistics

## Da leggere dopo

- https://netsenx.com/it/encrypted-traffic-analysis
- https://netsenx.com/it/what-is-ndr

## Domande correlate

- [Il traffico cifrato può rivelare che cosa contiene?](https://netsenx.com/it/faq/can-encrypted-traffic-reveal-what-is-inside)
- [I metadati di rete sono dati personali ai sensi del GDPR?](https://netsenx.com/it/faq/is-network-metadata-personal-data-under-gdpr)
- [Si può prendere un malware da un sito HTTPS?](https://netsenx.com/it/faq/can-you-get-malware-from-an-https-website)
- [Il traffico HTTPS può essere intercettato con un attacco man in the middle?](https://netsenx.com/it/faq/can-https-traffic-be-intercepted)
- [Che cos'è il fingerprinting TLS JA4?](https://netsenx.com/it/faq/what-is-ja4-tls-fingerprinting)