Jak odróżnić legalny ruch do chmury od wynajętego serwera napastnika?

Patrząc na to, kim jest cel, jak zachowuje się połączenie i czy cokolwiek w Twojej działalności je wyjaśnia. Napastnicy lubią wynajmowane serwery w chmurze, bo każdy może je utworzyć w kilka minut, a adres należy do renomowanego dostawcy, więc sama nazwa dostawcy niczego nie dowodzi. Lepsze pytania: czy cel pasuje do usługi, z której korzystasz, po nazwie w handshake'u TLSTLS: Transport Layer Security. Szyfrowanie, które chroni większość ruchu w internecie, na przykład HTTPS. lub w DNS, i czy ta usługa jest na Twojej liście dostawców? Czy połączenie jest regularne, małe i całodobowe, jak program meldujący się na serwerze, a nie napędzane przez ludzi w godzinach pracy? Czy zaczęło się zaraz po czymś nietypowym na tym urządzeniu, na przykład nowym programie czy logowaniu z zagranicy? Czy serwer, który zwykle tylko przyjmuje połączenia, nagle sam je otwiera na zewnątrz? Legalna usługa kopii zapasowych czy monitoringu ma zwykle udokumentowany cel i umowę; nieznana maszyna wirtualna, z którą stacja robocza łączy się co pięć minut, już nie. NetSenX w każdym planie sygnalizuje wzorzec regularnego meldowania się, czyli beaconing, i nietypową ilość danych wychodzących, wraz z celem, więc możesz zapytać właściwą osobę.

← Wszystkie pytania (25): Bezpieczeństwo chmury i SaaSWszystkie tematy