Firma doświadczyła poważnego incydentu, w którym 30 GB danych zostało wykradzionych z sieci korporacyjnej. Które z poniższych działań jest najbardziej efektywnym sposobem na zidentyfikowanie, skąd dane systemowe zostały wykradzione i do jakiej lokalizacji atakujący wysłał dane?

Prawidłowa odpowiedź to analiza logów zapory sieciowej i sieci. Wykradzenie 30 GB danych to duża ilość ruchu wychodzącego. Logi zapory sieciowej i sieci są najbardziej efektywne w identyfikacji źródła tego ruchu (skąd dane zostały wysłane) oraz celu (dokąd dane zostały wysłane, czyli zewnętrzne adresy IP lub domeny). Analiza logów IPS/IDS jest przydatna do wykrywania skanowania rozpoznawczego, ale nie bezpośrednio do śledzenia eksfiltracji danych. Analiza logów punktów końcowych i aplikacji może wykazać użycie programów do udostępniania plików, ale niekoniecznie wskaże, dokąd dane zostały wysłane. Zewnętrzne skany podatności identyfikują luki, ale nie śledzą faktycznego ruchu danych po naruszeniu.