Come sapremmo se il database del nostro ERP è stato copiato fuori dall'azienda?
Guardando ciò che il server del database ha inviato all'esterno, non il database in sé. Un'esportazione dall'ERP di clienti, prezzi o buste paga è voluminosa, e il server che la ospita di norma parla con l'applicazione ERP, con il sistema di backup e con pochi utenti, non con internet. I segnali sono un grande trasferimento in uscita da quel server, o da una postazione che ha appena estratto un'esportazione corposa, soprattutto di notte o verso un archivio cloud; un file di dump del database comparso su una condivisione; oppure una nuova sessione remota verso il server poco prima. Limiti l'accesso a internet dai server di database e registri le esportazioni nell'ERP stesso. NetSenX rileva volumi di dati in uscita insoliti per host, con destinazione e orario, in ogni piano; non vede quali tabelle c'erano in un trasferimento cifrato.
Da leggere dopo
Domande correlate
- Il monitoraggio di rete sa distinguere un caricamento di backup da un furto di dati?
- Perché una normale postazione dovrebbe collegarsi di notte al domain controller?
- Che cos'è l'ARP spoofing, e come lo rileviamo nella rete di un piccolo ufficio?
- Qualcuno connesso al nostro Wi-Fi può leggere il traffico degli altri utenti?
- Quanto tempo abbiamo quando il ransomware inizia a toccare le condivisioni di file?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi