Może być wykonana przez zewnętrznego atakującego, złośliwego lub nieostrożnego uczestnika wewnętrznego, skompromitowane oprogramowanie lub nadużyte połączenie strony trzeciej.
Eksfiltracja może być szybka i oczywista albo podzielona na małe transfery wtapiające się w zwykłą aktywność. Kanały obejmują pamięć chmurową, e-mail, przesyłanie webowe, komunikatory, narzędzia zdalnej administracji, DNS, szyfrowane tunele, nośniki wymienne, drukowanie i fotografie. Dochodzenie powinno ustalić, jakie dane zostały przeniesione, które konto, proces, urządzenie i ścieżka były zaangażowane, kto lub co je otrzymało i czy transfer się powiódł.
Najważniejsze punkty
ZapobieganieZasada minimalnych uprawnień, klasyfikacja danych, segmentacja, kontrolowany egress, DLP, bezpieczna współpraca i dobrze zarządzany dostęp stron trzecich.
WykrywanieTelemetria punktów końcowych, tożsamości, sieci, chmury, aplikacji i dostępu do danych badana w kontekście biznesowym.
ReakcjaZachowaj dowody, ogranicz ścieżkę, chroń dotknięte tożsamości, oceń dane i odbiorców oraz wypełnij obowiązki powiadomienia.
Istotne ograniczenieDuży transfer nie jest koniecznie złośliwy, a mały transfer może zawierać najbardziej wrażliwe informacje organizacji.