Il CIRT sta esaminando un incidente che ha coinvolto un reclutatore delle risorse umane che ha esfiltrato dati aziendali sensibili. Il CIRT ha scoperto che il reclutatore è stato in grado di utilizzare HTTP su porta 53 per caricare documenti su un server web. Quale dei seguenti dispositivi di infrastruttura di sicurezza avrebbe potuto identificare e bloccare questa attività?

La risposta corretta è un NGFW (Next-Generation Firewall) che utilizza l'ispezione delle applicazioni. Un NGFW è in grado di analizzare il traffico a livello di applicazione, indipendentemente dalla porta utilizzata. In questo caso, anche se HTTP è stato utilizzato sulla porta 53 (normalmente usata per DNS), l'NGFW avrebbe potuto identificare che si trattava di traffico HTTP e, tramite l'ispezione delle applicazioni, rilevare e bloccare il caricamento di documenti sensibili. Un WAF (Web Application Firewall) con decrittografia SSL protegge le applicazioni web da attacchi specifici, ma non è progettato per ispezionare il traffico HTTP su porte non standard per bloccare l'esfiltrazione di dati generica. Un UTM (Unified Threat Management) con un feed di minacce è utile per bloccare minacce note, ma potrebbe non rilevare un'esfiltrazione di dati che non corrisponde a una firma di minaccia specifica. Un SD-WAN (Software-Defined Wide Area Network) con IPSec si concentra sull'ottimizzazione e la sicurezza della connettività di rete, non sull'ispezione approfondita del contenuto delle applicazioni per prevenire l'esfiltrazione.