Компания столкнулась с критическим инцидентом, в ходе которого из корпоративной сети было эксфильтровано 30 ГБ данных. Какое из следующих действий является наиболее эффективным способом определить, откуда были эксфильтрованы системные данные и в какое местоположение злоумышленник отправил данные?

Анализ журналов брандмауэра и сетевых журналов является наиболее эффективным способом, поскольку они записывают информацию о входящем и исходящем трафике, включая объемы данных, IP-адреса источника и назначения, а также используемые порты и протоколы. Обнаружение 30 ГБ исходящего трафика на внешние IP-адреса или домены прямо укажет на источник эксфильтрации внутри сети и на место назначения данных. Анализ журналов IPS/IDS может выявить попытки разведки, но не покажет сам факт эксфильтрации данных. Журналы конечных точек и приложений могут показать запуск программ, но не обязательно укажут на объем и направление эксфильтрованных данных. Отчеты о сканировании уязвимостей показывают потенциальные точки входа, но не факт или детали уже произошедшей эксфильтрации.