1. Anti-esfiltrazione¶
Il percorso è Difesa Attiva → Anti Exfiltration. Lo strumento definisce e monitora una quota di traffico esterno per ogni dispositivo: fissata una soglia, sorveglia quanti dati ciascun apparecchio della rete spedisce verso l'esterno e segnala chi la supera.
Il senso è cogliere l'esfiltrazione dei dati sul nascere. Un dispositivo che comincia a inviare fuori molti più dati del solito raramente lo fa per motivi legittimi: più spesso è un malware che sta portando via documenti, un ransomware che copia i dati prima di cifrarli, o un account compromesso. Il volume anomalo del traffico in uscita è uno dei pochi segnali che questi attacchi lasciano mentre sono ancora in corso.
1.1 La soglia¶
In testa alla pagina è indicata la soglia predefinita — la quantità di traffico in uscita oltre la quale un dispositivo viene considerato sospetto. I pulsanti di servizio accanto avviano, fermano e riavviano il monitoraggio; la scheda Configurazione permette di regolare le soglie.
1.2 Le violazioni¶
Il traffico è diviso in due schede:
- Connessioni Normali — i dispositivi che restano sotto la soglia;
- Violazioni Soglia — quelli che l'hanno superata, ciascuno con il dettaglio di quanto e verso dove.
Per ogni violazione la tabella riporta:
| Colonna | Significato |
|---|---|
| IP Sorgente | Il dispositivo interno che sta inviando i dati |
| IP di Destinazione | Dove li sta inviando |
| Traffico | Quanto ha inviato |
| Threshold | La soglia applicata |
| Superato Di | Di quanto ha oltrepassato la soglia |
| Packets / Connessioni | Il numero di pacchetti e di connessioni coinvolti |
| Azioni | Approfondire la violazione o bloccare il dispositivo |
La soglia va tarata sulla rete
Una soglia troppo bassa segnala un backup verso il cloud o un videocollegamento come fossero attacchi; troppo alta, lascia passare un'esfiltrazione lenta. Conviene osservare per qualche giorno le Connessioni Normali per capire quanto traffico in uscita è fisiologico sulla propria rete, e fissare la soglia poco sopra quel valore.
Una violazione va capita prima di bloccare
Non ogni superamento è un attacco: un trasferimento legittimo e voluminoso somiglia, nei numeri, a un'esfiltrazione. Prima di bloccare un dispositivo conviene approfondire — verso quale destinazione sta inviando, su quali porte — perché bloccare a torto un server che sta facendo il suo lavoro ferma un'attività reale. Il valore dello strumento è arrivare in fretta a guardare, non bloccare alla cieca.