Un analyste de sécurité reçoit des alertes concernant un système interne qui envoie une grande quantité de requêtes DNS inhabituelles à des systèmes sur Internet pendant de courtes périodes en dehors des heures de bureau. Lequel des scénarios suivants est le plus probable ?

L'envoi d'un grand volume de requêtes DNS inhabituelles vers des systèmes externes, surtout en dehors des heures de bureau, est un indicateur classique d'exfiltration de données. Les attaquants utilisent souvent le DNS comme canal furtif pour extraire des informations d'un réseau compromis, car le trafic DNS est fréquemment autorisé et moins surveillé que d'autres protocoles. Un ver se propageant sur le réseau pourrait générer du trafic inhabituel, mais les requêtes DNS spécifiques vers l'extérieur pour de courtes périodes sont moins typiques de sa propagation initiale. Une bombe logique supprime des données, mais cela ne correspond pas au comportement observé de requêtes DNS. Le rançongiciel chiffre des fichiers et pourrait générer du trafic réseau, mais pas spécifiquement un volume élevé de requêtes DNS inhabituelles vers l'extérieur comme mécanisme principal.