Perché i semplici allarmi sulla banda non vedono il furto di dati?
Perché fanno la domanda sbagliata. Un allarme sulla banda chiede se un collegamento è più occupato di un limite fisso; il furto di dati di solito è pensato per restarne al di sotto. Gli attaccanti inviano a pezzi, di notte o nelle ore di punta quando qualche centinaio di megabyte sparisce tra backup e videochiamate, e verso servizi di archiviazione cloud usati anche dal Suo personale, così nemmeno le liste di destinazioni li segnalano. Un limite fisso scatta inoltre a ogni grande trasferimento legittimo, e si finisce per non leggere più gli allarmi. La domanda utile riguarda ogni host: questa macchina sta inviando di più, verso una destinazione diversa o in un orario diverso dal solito? Serve un riferimento per host anziché per collegamento. NetSenX mantiene questo riferimento e rileva volumi di dati in uscita insoliti per host in ogni piano, Free compreso.
Da leggere dopo
Domande correlate
- Che aspetto ha in rete l'attività di Cobalt Strike?
- Una scansione interna delle porte è il segno di un intruso?
- Come capiamo se qualcuno sta tentando di indovinare password nella nostra rete interna?
- Come rileviamo grandi caricamenti da un server verso un archivio cloud?
- Che cos'è l'abuso di PsExec o delle condivisioni amministrative, e perché l'antivirus non lo segnala?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi