Um analista de segurança recebe alertas sobre um sistema interno que está enviando uma grande quantidade de consultas DNS incomuns para sistemas na internet em curtos períodos de tempo, fora do horário comercial. Qual das seguintes opções é a mais provável de estar ocorrendo?

A exfiltração de dados é a causa mais provável. O envio de um grande volume de consultas DNS incomuns para a internet, especialmente fora do horário comercial, é um método comum usado por atacantes para extrair dados de uma rede comprometida (exfiltração baseada em DNS). Os dados são codificados nas consultas DNS e enviados para um servidor controlado pelo atacante. Um worm se propagando pela rede geralmente causaria tráfego de rede incomum, mas não necessariamente um volume alto e específico de consultas DNS para a internet. Uma bomba lógica excluindo dados não se manifestaria por meio de consultas DNS incomuns; ela agiria internamente no sistema. Ransomware criptografando arquivos também não se manifestaria por consultas DNS incomuns; ele se concentraria na criptografia e na comunicação para o pagamento do resgate.