# Che cos'è la raccolta (collection) in MITRE ATT&CK?

La raccolta è l'attaccante che mette insieme i dati che vuole prima di portarli fuori: copiare file dalle condivisioni in un unico posto, comprimerli in archivi, leggere caselle di posta, esportare un database, fare schermate. Spesso si manifesta come un host che all'improvviso legge da file server o database molto più di quanto abbia mai fatto, a volte di notte, seguito da una pausa mentre si creano gli archivi. I log di audit di file e database mostrano che cosa è stato letto, e gli strumenti degli endpoint vedono la creazione degli archivi. In rete, la raccolta appare come nuove sessioni da quell'host verso molti file server, e il passo successivo, l'esfiltrazione, come volumi in uscita insoliti da esso. Limiti chi può leggere che cosa, soprattutto gli account di servizio con ampio accesso ai file. NetSenX rileva nuove sessioni tra host e volumi di dati in uscita insoliti per host in ogni piano; non vede quali file sono stati letti in sessioni cifrate.

FAQ: [Tecniche di attacco spiegate](https://netsenx.com/it/faq/attacks) · https://netsenx.com/it/faq/what-is-collection-in-mitre-attack

## Da leggere dopo

- https://netsenx.com/it/detect-lateral-movement-c2-beaconing
- https://netsenx.com/it/is-someone-inside-your-network

## Domande correlate

- [Che cos'è il command and control (C2) come tattica ATT&CK?](https://netsenx.com/it/faq/what-is-command-and-control-in-mitre-attack)
- [Che cos'è la tattica Impact in MITRE ATT&CK?](https://netsenx.com/it/faq/what-is-the-impact-tactic-in-mitre-attack)
- [Che cos'è la cyber kill chain, e che rapporto ha con MITRE ATT&CK?](https://netsenx.com/it/faq/what-is-the-cyber-kill-chain)
- [Come può un piccolo team usare MITRE ATT&CK per trovare lacune nel rilevamento?](https://netsenx.com/it/faq/how-to-use-mitre-attack-to-find-gaps-in-detection)
- [Che cosa succede dopo che un attaccante è entrato nella rete?](https://netsenx.com/it/faq/what-happens-after-an-attacker-gets-in)