Che cos'è l'esfiltrazione lenta (low and slow), e come si rileva?
L'esfiltrazione lenta è il furto di dati in piccole quantità per un lungo periodo, in modo che nessun singolo trasferimento sembri insolito: qualche centinaio di megabyte a ogni pausa pranzo per un mese, o un rivolo costante di notte, spesso verso un servizio di archiviazione cloud che molti usano legittimamente. I semplici allarmi sulla banda non la vedono, perché cercano picchi. Si scopre confrontando ogni host con la propria storia su giorni e settimane: un server che a mezzogiorno non caricava mai nulla ora lo fa ogni giorno, oppure una postazione invia un po' di dati alla stessa nuova destinazione alla stessa ora. I log dell'archivio cloud e del proxy possono mostrarlo per utente. Osservi il totale inviato per host e destinazione su una settimana, non solo per ora. NetSenX valuta il volume in uscita rispetto alle destinazioni, ai volumi e agli orari abituali di ciascun host, in ogni piano.
Da leggere dopo
Domande correlate
- Perché i semplici allarmi sulla banda non vedono il furto di dati?
- Che aspetto ha in rete l'attività di Cobalt Strike?
- Una scansione interna delle porte è il segno di un intruso?
- Come capiamo se qualcuno sta tentando di indovinare password nella nostra rete interna?
- Come rileviamo grandi caricamenti da un server verso un archivio cloud?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi