Czym jest powolne wyprowadzanie danych (low and slow) i jak się je wykrywa?

Powolne wyprowadzanie danych to kradzież małymi porcjami przez długi czas, tak by żaden pojedynczy transfer nie wyglądał nietypowo: kilkaset megabajtów w każdej przerwie obiadowej przez miesiąc albo stała strużka w nocy, często do usługi przechowywania w chmurze, z której wiele osób korzysta legalnie. Proste alarmy przepustowości tego nie wychwytują, bo szukają skoków. Wykrywa się to, porównując każdy host z jego własną historią z dni i tygodni: serwer, który nigdy nie wysyłał danych w porze obiadowej, teraz robi to codziennie, albo stacja robocza wysyła trochę danych do tego samego nowego celu o tej samej godzinie. Logi chmury i proxy mogą pokazać to dla każdego użytkownika. Patrz na łączną ilość wysłaną przez host do danego celu w skali tygodnia, nie tylko godziny. NetSenX ocenia wolumen wychodzący względem typowych celów, wolumenów i pór dnia każdego hosta, w każdym planie.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy