Czy monitoring sieci odróżni wysyłkę kopii zapasowej od kradzieży danych?
Zwykle tak, gdy już zna kopię zapasową. Legalna kopia zapasowa lub synchronizacja z chmurą działa ze znanych hostów do znanych celów o stałych porach, z podobnym wolumenem noc w noc, i zaczyna się w dniu, w którym ustawiono zadanie. Kradzież zwykle różni się przynajmniej jednym: host, który nigdy nie wysyła danych, nowy cel, nietypowa godzina albo wolumen znacznie powyżej normy danego hosta. Gdy kradzież korzysta z tego samego dostawcy chmury co Twoje kopie, różnią się konto i dokładny cel, co lepiej niż dane o przepływach pokazuje proxy albo logi samego dostawcy. NetSenX porównuje wysyłki każdego hosta z jego własną historią i wyjaśnia alert, więc nocne zadanie kopii zapasowej pozostaje rozpoznawalne; jeśli jednak wywoła alert, oznacz go raz jako false positive, a decyzja trafi do dziennika audytu.
Czytaj dalej
Powiązane pytania
- Dlaczego zwykła stacja robocza miałaby łączyć się w nocy z kontrolerem domeny?
- Czym jest ARP spoofing i jak go wykryć w sieci małego biura?
- Czy ktoś w naszym Wi-Fi może czytać ruch innych użytkowników?
- Ile mamy czasu, gdy ransomware zaczyna dotykać udziałów plikowych?
- Czy da się zobaczyć, który program na serwerze wysłał dużą ilość danych?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy