Eine Organisation erlebt einen Cybersicherheitsvorfall, der einen Command-and-Control-Server betrifft. Welche der folgenden Protokolle sollten analysiert werden, um den betroffenen Host zu identifizieren? (Wählen Sie zwei.)

Um einen Host zu identifizieren, der von einem Command-and-Control-Server (C2) betroffen ist, sind Netzwerk- und Firewall-Protokolle am relevantesten. Netzwerkprotokolle (z. B. NetFlow, VPC Flow Logs) zeichnen Verbindungsdaten auf, einschließlich Quell- und Ziel-IP-Adressen, Ports und übertragener Datenmengen, was entscheidend ist, um ungewöhnliche Auslandsverbindungen zu einem C2-Server zu erkennen. Firewall-Protokolle protokollieren alle zugelassenen oder blockierten Verbindungen und zeigen, welche internen Hosts versucht haben, mit externen, potenziell bösartigen IP-Adressen zu kommunizieren. Anwendungsprotokolle sind spezifisch für einzelne Anwendungen und helfen nicht direkt bei der Identifizierung des betroffenen Hosts im Netzwerk. Authentifizierungsprotokolle verfolgen Anmeldeversuche, sind aber nicht primär für die Erkennung von C2-Kommunikation zuständig. DHCP-Protokolle weisen IP-Adressen zu, zeigen aber nicht die Kommunikationsmuster. Datenbankprotokolle sind für Datenbankaktivitäten relevant, nicht für Netzwerkverbindungen zu einem C2-Server.