Quali sono i primi segnali di ransomware in una rete?

Connessioni regolari di una postazione verso un nuovo server esterno, un host che scansiona gli intervalli interni alla ricerca di porte SMB, RDP o di database, nuove sessioni di amministrazione verso molti server e un grande caricamento verso il cloud da un server che di solito invia poco. Di norma arrivano in quest'ordine, prima che venga cifrato qualsiasi file.