Jak wykryć duże wysyłki danych z serwera do chmury?
Porównuj ruch wychodzący każdego serwera z jego własną normą i uważnie przyglądaj się celom w usługach przechowywania w chmurze. Wiele serwerów nigdy nie musi wysyłać dużo do internetu, więc serwer baz danych lub plików wysyłający gigabajty do usługi udostępniania plików lub przechowywania w chmurze jest nietypowy sam w sobie; komunikaty o ransomware opisują narzędzia takie jak Rclone używane właśnie w ten sposób przed szyfrowaniem. Kroki praktyczne: ogranicz, które serwery w ogóle mogą łączyć się z internetem, loguj połączenia wychodzące na firewallu lub proxy i co tydzień przeglądaj wolumeny wysyłane przez poszczególne serwery do chmury. Jeśli oficjalnie korzystasz z usługi chmurowej, rozdziel na proxy jej legalne cele od kont prywatnych, jeśli się da. NetSenX wykrywa nietypowy wolumen danych wychodzących dla każdego hosta, z celem i czasem, w każdym planie; nie widzi treści szyfrowanych wysyłek ani tego, na które konto trafiły.
Czytaj dalej
Powiązane pytania
- Czym jest nadużycie PsExec lub udziałów administracyjnych i dlaczego antywirus tego nie zgłasza?
- Czy napastnicy mogą poruszać się po naszej sieci ze skradzionymi hasłami i bez złośliwego oprogramowania?
- Ruch lateralny lepiej wykrywać w logach uwierzytelniania czy w przepływach sieciowych?
- Czym jest wykrywanie ruchu lateralnego oparte na grafie?
- Czy narzędzia oparte na regułach przeoczają nowe ścieżki ataku?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy