Un'azienda ha subito un incidente critico in cui 30 GB di dati sono stati esfiltrati dalla rete aziendale. Quale delle seguenti azioni è il modo più efficiente per identificare da dove sono stati esfiltrati i dati di sistema e in quale posizione l'attaccante ha inviato i dati?

L'analisi dei log del firewall e della rete è il metodo più efficiente perché questi log registrano il traffico in uscita, inclusi i volumi di dati e le destinazioni. Questo permette di identificare sia la sorgente interna dell'esfiltrazione (il sistema da cui sono stati inviati i dati) sia la destinazione esterna (l'indirizzo IP o il dominio a cui l'attaccante ha inviato i dati). Le altre opzioni sono meno dirette o incomplete: L'analisi dei log IPS/IDS per le scansioni di ricognizione aiuta a identificare l'attività iniziale dell'attaccante, ma non fornisce direttamente informazioni sull'esfiltrazione dei dati o sulla loro destinazione finale. L'analisi dei log degli endpoint e delle applicazioni per i programmi di condivisione file può indicare un metodo di esfiltrazione, ma non identifica necessariamente la destinazione esterna dei dati. L'analisi delle scansioni di vulnerabilità esterne identifica potenziali punti deboli, ma non traccia l'esfiltrazione effettiva dei dati né la loro destinazione.