Ho registri FTP e altri registri presumendo che l'ambiente aziendale sia monitorato attivamente. Come faccio a sapere che l'utente sta utilizzando ftp per trasferire file regolari e non utilizzare lo stesso per trasferire file riservati da un'organizzazione. o in altre parole, come potrei (come analista soc) identificare che il server ftp è il server non utilizzato dalla società per la memorizzazione dei dati, ma il dipendente utilizza quel particolare server ftp per l'archiviazione dei dati. E il trasferimento dei dati su quel server sarà considerato come Data Exfiltration. Si supponga di avere accesso a tutti i registri e che sia possibile utilizzare tali log per l'analisi. Sarei grato se qualcuno potesse spiegarmi quali log considerare e quali campi sono critici in quei log e come?