Come rileviamo grandi caricamenti da un server verso un archivio cloud?
Confronti il traffico in uscita di ogni server con la sua normalità e guardi con attenzione le destinazioni di archiviazione cloud. Molti server non hanno mai bisogno di inviare molto a internet, quindi un server di database o di file che carica gigabyte verso un servizio di condivisione file o di archiviazione cloud è già insolito in sé; gli avvisi sul ransomware descrivono strumenti come Rclone usati proprio così prima della cifratura. Passi pratici: limiti quali server possono raggiungere internet, registri le connessioni in uscita sul firewall o sul proxy e controlli ogni settimana i volumi per server verso gli archivi cloud. Se usa ufficialmente un servizio cloud, separi se possibile sul proxy le sue destinazioni legittime dagli account personali. NetSenX rileva volumi di dati in uscita insoliti per host, con destinazione e orario, in ogni piano; non vede il contenuto dei caricamenti cifrati né l'account di destinazione.
Da leggere dopo
Domande correlate
- Che cos'è l'abuso di PsExec o delle condivisioni amministrative, e perché l'antivirus non lo segnala?
- Gli attaccanti possono muoversi nella nostra rete con password rubate e senza malware?
- Il movimento laterale va rilevato dai log di autenticazione o dai flussi di rete?
- Che cos'è il rilevamento del movimento laterale basato su grafi?
- Gli strumenti di sicurezza basati su regole perdono i nuovi percorsi di attacco?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi