Hoe controleren we of de ransomware-aanvallers echt onze data hebben gestolen?
Zoek de overdracht, niet de bewering. Aanvallers overdrijven soms om de druk op te voeren, en soms namen ze echt alles mee wat ze zeggen. Controleer firewall- en proxylogs op grote uitgaande overdrachten in de dagen vóór de versleuteling, vooral naar cloudopslag of naar adressen die verder niemand gebruikt, en noteer welke interne hosts ze verstuurden. Vergelijk het volume met wat die servers bevatten. Vraag een bewijsmonster alleen op via uw responder, en bekijk wat erin zit. Auditlogs van cloudopslag en SaaS-diensten kunnen massale downloads laten zien. Laat het bewijs geen noemenswaardige uitgaande overdracht zien, dan helpt dat bij de beslissing en een eventuele melding, maar het ontbreken van bewijs op één route bewijst niet dat er via een andere niets is weggelekt. NetSenX bewaart alerts over ongewoon uitgaand datavolume per host, met tijdstip, bestemming en volume; bestandsnamen in versleutelde overdrachten ziet het niet.