Wat zijn de vroege signalen van ransomware op een netwerk?

Regelmatige verbindingen van een werkplek met een nieuwe externe server, één host die interne reeksen scant op SMB-, RDP- of databasepoorten, nieuwe beheerderssessies naar veel servers en een grote upload naar cloudopslag vanaf een server die normaal weinig verstuurt. Ze komen meestal in die volgorde, voordat er één bestand versleuteld is.