Een bedrijf heeft een kritiek incident gehad waarbij 30 GB aan gegevens uit het bedrijfsnetwerk is geëxfiltreerd. Welke van de volgende acties is de meest efficiënte manier om te identificeren waar de systeemgegevens vandaan zijn geëxfiltreerd en naar welke locatie de aanvaller de gegevens heeft verzonden?

De meest efficiënte manier om de bron en bestemming van geëxfiltreerde gegevens te identificeren, is door firewall- en netwerklogs te analyseren. Deze logs registreren alle inkomende en uitgaande verbindingen, inclusief de hoeveelheid dataoverdracht, bron- en bestemmings-IP-adressen, en poorten. Een grote hoeveelheid uitgaand verkeer naar onbekende externe IP-adressen of domeinen is een duidelijke indicator van data-exfiltratie. Het analyseren van IPS- en IDS-logs op verkenningsscans helpt bij het identificeren van de initiële aanval, maar niet direct bij de exfiltratie zelf. Endpoint- en applicatielogs kunnen verdachte programma's detecteren, maar zijn minder direct in het traceren van de daadwerkelijke dataoverdracht buiten het netwerk. Externe kwetsbaarheidsscans identificeren potentiële zwakke punten, maar geven geen inzicht in de actuele data-exfiltratie.