Het CIRT onderzoekt een incident waarbij een recruiter van human resources gevoelige bedrijfsgegevens heeft geëxfiltreerd. Het CIRT ontdekte dat de recruiter HTTP over poort 53 kon gebruiken om documenten naar een webserver te uploaden. Welk van de volgende beveiligingsinfrastructuurapparaten had deze activiteit kunnen identificeren en blokkeren?

Een NGFW (Next-Generation Firewall) met applicatie-inspectie is de beste optie omdat het in staat is om applicatieverkeer te identificeren en te controleren, ongeacht de poort die wordt gebruikt. In dit geval zou het de HTTP-over-DNS (poort 53) activiteit hebben herkend als ongebruikelijk en potentieel kwaadaardig, en het uploaden van documenten hebben geblokkeerd. Een WAF (Web Application Firewall) met SSL-decryptie beschermt webapplicaties, maar zou HTTP-verkeer over poort 53 waarschijnlijk niet als een webapplicatieverzoek herkennen en zou het dus niet blokkeren. Een UTM (Unified Threat Management) met een dreigingsfeed zou mogelijk verdachte IP-adressen kunnen blokkeren, maar zou de specifieke applicatie-exfiltratie over een ongebruikelijke poort waarschijnlijk niet detecteren zonder diepgaande applicatie-inspectie. Een SD-WAN (Software-Defined Wide Area Network) met IPSec richt zich op het optimaliseren van netwerkconnectiviteit en het beveiligen van data in transit tussen locaties, niet op het detecteren van applicatie-exfiltratie binnen het netwerk.