Kan netwerkmonitoring een back-upupload onderscheiden van datadiefstal?
Meestal wel, zodra het de back-up kent. Een legitieme back-up of cloudsynchronisatie loopt van bekende hosts naar bekende bestemmingen op vaste tijden, met vergelijkbare volumes nacht na nacht, en begint op de dag dat de taak werd ingesteld. Diefstal verschilt meestal op minstens één punt: een host die nooit uploadt, een nieuwe bestemming, een ongewoon uur of een volume ver boven het normaal van die host. Gebruikt de diefstal dezelfde cloudaanbieder als uw back-ups, dan verschillen het account en de exacte bestemming, wat een proxy of de logs van de aanbieder beter laten zien dan flowdata. NetSenX vergelijkt de uploads van elke host met zijn eigen geschiedenis en legt de alert uit, zodat de nachtelijke back-up herkenbaar blijft; slaat hij toch aan, markeer hem dan één keer als vals-positief, en de beslissing blijft in het auditlog bewaard.
Lees verder
Gerelateerde vragen
- Waarom zou een gewone werkplek 's nachts verbinding maken met de domeincontroller?
- Wat is ARP-spoofing, en hoe ontdekken we het op een klein kantoornetwerk?
- Kan iemand op onze wifi het verkeer van andere gebruikers lezen?
- Hoeveel tijd hebben we zodra ransomware netwerkshares begint aan te raken?
- Kunnen we zien welk programma op een server een grote upload deed?
← Alle 69 vragen over Aanvalstechnieken uitgelegdAlle onderwerpen