Esfiltrazione di dati

Utilizzate l'estensione IBM Security QRadar Data Exfiltration Content Extension per monitorare attentamente le attività di esfiltrazione dei dati nella vostra installazione.

Importante per evitare errori di contenuto in questa estensione di contenuto, tenere aggiornati i DSM associati. I DSM vengono aggiornati come parte degli aggiornamenti automatici. Se gli aggiornamenti automatici non sono abilitati, scaricare la versione più recente dei DSM associati da IBM® Fix Central (https://www.ibm.com/support/fixcentral).

Informazioni sull'estensione di esfiltrazione dati

QRadar Content Extension pack for Data Exfiltration aggiunge diverse regole e ricerche salvate che si concentrano sulla rilevazione delle attività di esfiltrazione dei dati.

Esempi di attività di esfiltrazione dei dati sono:

Trasferimento di dati in uscita di grandi dimensioni a un IP dannoso noto o a un servizio di archiviazione file online.
Trasferimento dati in uscita lento e furtivo per diversi giorni o mesi.
Perdita di dati o perdita di dati nel cloud. Ad esempio, se un file riservato viene caricato in una cartella o in un bucket accessibile pubblicamente o se le autorizzazioni di un file riservato vengono modificate per essere leggibili o accessibili.
Condivisione di file riservati. Ad esempio, se i file riservati vengono condivisi con un host nocivo, un utente ospite o con un utente esterno all'organizzazione.

IBM Security QRadar Estensioni del contenuto dell'esfiltrazione dati

IBM Security QRadar Data Exfiltration Content Extension 1.0.5
IBM Security QRadar Data Exfiltration Content Extension 1.0.4
IBM Security QRadar Data Exfiltration Content Extension 1.0.3
IBM Security QRadar Data Exfiltration Content Extension 1.0.2
IBM Security QRadar Data Exfiltration Content Extension 1.0.1
IBM Security QRadar Data Exfiltration Content Extension 1.0.0

IBM Security QRadar Estensione contenuto di esfiltrazione dati 1.0.5

Questa versione di IBM Security QRadar Data Exfiltration Content Extension include una correzione di errore che ha causato l'elencazione del nome e della descrizione del gruppo di regole Exfiltration comenullquando richiamato dall'API.

La seguente tabella mostra le proprietà evento personalizzate nuove o aggiornate in IBM Security QRadar Data Exfiltration Content Extension 1.0.5.

Nota: le proprietà personalizzate incluse nella tabella seguente sono segnaposto. È possibile scaricare altre estensioni di contenuto che includono proprietà personalizzate con questi nomi oppure è possibile crearne di proprie.

Tabella 1. Proprietà evento personalizzate in IBM Security QRadar Data Exfiltration Content Extension 1.0.5
Proprietà personalizzata	Ottimizzato	Trovato in
Directory file	Sì	AMP Cisco Cisco Firepower Linux Microsoft Office 365 Microsoft Windows osquery Microsoft 365 Defender
Host destinatario	Sì	Cisco IronPort Microsoft Exchange Microsoft Office 365 Postfix
Utente destinatario	Sì	Cisco IronPort Microsoft Exchange Microsoft Office 365 Postfix
UrlHost	Sì	Cappotto blu Cisco IronPort IBM Cloud Discovery App per QRadar McAfee EPO Squid Microsoft 365 Defender
Categoria Web	Sì	Cappotto blu Cisco IronPort

La seguente tabella mostra le regole nuove o aggiornate in IBM Security QRadar Data Exfiltration 1.0.5.

Tabella 2. Regole in IBM Security QRadar Data Exfiltration 1.0.5.
Nome	Descrizione
Numero eccessivo di eventi di accesso file dallo stesso indirizzo IP di origine	Intervallo di indirizzi IP esclusi modificato da 192.168.2.0/24 a 192.0.2.0/24.
Eventi di accesso file eccessivi dallo stesso nome utente	Intervallo di indirizzi IP esclusi modificato da 192.168.2.0/24 a 192.0.2.0/24.
Numero eccessivo di eventi di download file dallo stesso nome utente	Intervallo di indirizzi IP esclusi modificato da 192.168.2.0/24 a 192.0.2.0/24.
Numero eccessivo di eventi di download di file dallo stesso IP di origine	Intervallo di indirizzi IP esclusi modificato da 192.168.2.0/24 a 192.0.2.0/24.

_{(Torna all'inizio)}

IBM Security QRadar Data Exfiltration Content Extension 1.0.4

La seguente tabella mostra le regole e i blocchi di creazione nuovi o aggiornati in IBM Security QRadar Data Exfiltration 1.0.4.

Tabella 3. Regole e creazione di blocchi in IBM Security QRadar Data Exfiltration 1.0.4.
Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Host destinatario potenzialmente ostile	Aggiunto filtro per migliorare le prestazioni.
Blocco di generazione	BB:CategoryDefinition: Comunicazione con IP di destinazione potenzialmente ostili	È stato aggiunto un filtro di direzione del flusso per migliorare le prestazioni.
Blocco di generazione	BB:CategoryDefinition: Comunicazione con ospiti destinatari potenzialmente ostili	Rimosso questo blocco di generazione.
Blocco di generazione	BB:BehaviorDefinition: Host destinatario esterno	Corretto il collegamento ID serie di riferimento su questo blocco di creazione.
Regola	Numero eccessivo di eventi di accesso file dallo stesso indirizzo IP di origine	Aggiunta della stessa ubicazione (origine log) alla logica della regola.
Regola	Eventi di accesso file eccessivi dallo stesso nome utente	Aggiunta della stessa ubicazione (origine log) alla logica della regola.
Regola	Numero eccessivo di eventi di download di file dallo stesso IP di origine	Aggiunta della stessa ubicazione (origine log) alla logica della regola.
Regola	Numero eccessivo di eventi di download file dallo stesso nome utente	Aggiunta della stessa ubicazione (origine log) alla logica della regola.
Regola	File a cui è stato eseguito l'accesso o il download da un IP dannoso	Il limitatore di risposta è stato modificato in IP di destinazione.
Regola	Trasferimento dati in uscita di grandi dimensioni	Rimosso a causa di un difetto noto che viola l'importazione delle regole di soglia.
Regola	Trasferimento dati in uscita di grandi dimensioni per flussi	Rimosso a causa di un difetto noto che viola l'importazione delle regole di soglia.
Regola	Trasferimento di dati in uscita su un host File Storage	Rimosso a causa di un difetto noto che viola l'importazione delle regole di soglia.
Regola	Trasferimento dati in uscita di grandi dimensioni a un host o IP dannoso	Rimosso a causa di un difetto noto che viola l'importazione delle regole di soglia.
Regola	Trasferimento dati in uscita di grandi dimensioni a un IP dannoso per i flussi	Rimosso a causa di un difetto noto che viola l'importazione delle regole di soglia.

La seguente tabella mostra le ricerche salvate nuove o aggiornate in IBM Security QRadar Data Exfiltration 1.0.4.

Tabella 4. Ricerche salvate in IBM Security QRadar Estrazione dati 1.0.4
Nome	Descrizione
Trasferimento dati in uscita di grandi dimensioni	È stata rimossa la clausola di inclusione dalla ricerca AQL.
Trasferimento dati in uscita di grandi dimensioni - Monitoraggio anomalie	È stata rimossa la clausola di inclusione dalla ricerca AQL.
Trasferimento di dati in uscita su un host File Storage	È stata rimossa la clausola di inclusione dalla ricerca AQL.
Trasferimento dati in uscita di grandi dimensioni su host o IP dannosi	È stata rimossa la clausola di inclusione dalla ricerca AQL.
Trasferimento di dati in uscita su IP dannoso	È stata rimossa la clausola di inclusione dalla ricerca AQL.

_{(Torna all'inizio)}

IBM Security QRadar Data Exfiltration Content Extension 1.0.3

Corretti gli errori nel dashboard Pulse che hanno causato l'analisi non corretta delle query AQL.

La seguente tabella mostra i blocchi predefiniti rinominati in IBM Security QRadar Data Exfiltration Content Extension 1.0.3.

Tabella 5. Blocchi di creazione ridenominati n IBM Security QRadar Data Exfiltration Content Extension 1.0.3
Vecchio nome	Nuovo nome
BB:BehaviorDefinition: Indirizzi e-mail esterni	BB:BehaviorDefinition: Host destinatario esterno
BB:BehaviorDefinition: Host email potenzialmente ostile	BB:BehaviorDefinition: Host destinatario potenzialmente ostile

_{(Torna all'inizio)}

IBM Security QRadar Estensione contenuto di esfiltrazione dati 1.0.2

Aggiornate le condizioni per le regole seguenti:

Trasferimento dati in uscita di grandi dimensioni
Trasferimento dati in uscita di grandi dimensioni per flussi
Trasferimento di dati in uscita su un host File Storage
Trasferimento dati in uscita di grandi dimensioni a un host o IP dannoso
Trasferimento dati in uscita di grandi dimensioni a un IP dannoso per i flussi

_{(Torna all'inizio)}

IBM Security QRadar Estensione contenuto esfiltrazione dati 1.0.1

È stata aggiornata la regola QNI: Contenuto riservato trasferito per includere i record che hanno attivato la regola nell'offensiva.

_{(Torna all'inizio)}

IBM Security QRadar Estensione contenuto di esfiltrazione dati 1.0.0

La seguente tabella mostra le proprietà dell'evento personalizzato in IBM Security QRadar Data Exfiltration Content Extension 1.0.0.

Tabella 6. Proprietà evento personalizzate in IBM Security QRadar Data Exfiltration Content Extension 1.0.0
Proprietà personalizzata	Ottimizzato	Trovato in
BytesReceived	Sì	Cappotto blu Cisco Firepower Cisco IronPort Juniper SSL VPN Palo Alto PA Series Squid
BytesSent	Sì	Cappotto blu Cisco Firepower Juniper SSL VPN Palo Alto PA Series
Directory file	Sì	AMP Cisco Cisco Firepower Linux Microsoft Office 365 Microsoft Windows osquery Microsoft 365 Defender
Estensione file	Sì	Amazon AWS Cappotto blu AMP Cisco Cisco IronPort McAfee EPO Microsoft Office 365 Microsoft Windows osquery Postfix Squid Microsoft 365 Defender
Nome file	Sì	Amazon AWS Azure Bit9 Security Platform Cappotto blu Protezione del nero di carbonio AMP Cisco Cisco Firepower Cisco IronPort Endpoint FireEye MPS Fortinet FortiAnalyzer Linux McAfee EPO Microsoft Office 365 Microsoft Windows osquery Palo Alto PA Series Postfix Squid Sysmon VMware Microsoft 365 Defender
MessageID	Sì	Cisco IronPort Microsoft Exchange Postfix
Nome politica	Sì	Amazon AWS IBM Guardium Microsoft Office 365
Autorizzazione pubblica	Sì	Amazon AWS
Host destinatario	Sì	Cisco IronPort Microsoft Exchange Microsoft Office 365 Postfix
Utente destinatario	Sì	Cisco IronPort Microsoft Exchange Microsoft Office 365 Postfix
Nome archiviazione	Sì	Amazon AWS
Area utente di destinazione	Sì	Microsoft Office 365
URL	Sì	Cappotto blu Check Point Cisco IronPort IBM Security QRadar DNS Analyzer FireEye MPS Fortinet FortiAnalyzer Juniper SSL VPN McAfee EPO Palo Alto PA Series Squid Protezione endpoint Symantec Monitoraggio minacce Microsoft 365 Defender
UrlHost	Sì	Cappotto blu Cisco IronPort IBM Cloud Discovery App per QRadar McAfee EPO Squid Microsoft 365 Defender
Categoria Web	Sì	Cappotto blu Cisco IronPort

La seguente tabella mostra i blocchi di generazione e le regole in IBM Security QRadar Data Exfiltration Content Extension 1.0.0.

Tabella 7. Blocchi e regole di creazione in IBM Security QRadar Data Exfiltration Content Extension 1.0.0
Tipo	Nome	Descrizione
Blocco di generazione	BB:BehaviorDefinition: Indirizzi e-mail esterni	Questo blocco di generazione identifica gli host dei destinatari che non si trovano nella serie di riferimento Domini email aziendali. Nota: la serie di riferimento Domini email aziendali deve essere popolata.
Blocco di generazione	BB:BehaviorDefinition: Host email potenzialmente ostile	Questo blocco di generazione identifica un'email inviata a un host doloso. L'host è dannoso se la categorizzazione X-Force ® per esso restituisce uno dei seguenti: URL di phishing, URL di spam, malware, server di comando e controllo botnet o mining di criptovaluta.
Blocco di generazione	BB:CategoryDefinition: Comunicazione con IP di destinazione potenzialmente ostili	Questo blocco di generazione identifica le comunicazioni con IP dannosi. L'host è dannoso se la categorizzazione X-Force per esso restituisce uno dei seguenti: Malware, Botnet Command and Control Server, Spam, Cryptocurrency Mining, Scanning IPs, Bots o Phishing.
Blocco di generazione	BB:CategoryDefinition: Comunicazione con ospiti destinatari potenzialmente ostili	Questo blocco di generazione identifica le comunicazioni con host dannosi. L'host è dannoso se la categorizzazione X-Force per esso restituisce uno dei seguenti: Botnet Command and Control Server, Malware, Phishing URLs, Cryptocurrency Mining o Spam URLs.
Blocco di generazione	BB:CategoryDefinition: Paesi/Regioni ad accesso limitato	Modificare questo blocco di generazione per includere qualsiasi posizione geografica a cui in genere non è consentito accedere all'azienda.
Blocco di generazione	BB:CategoryDefinition: Eventi di cancellazione di file	Modificare questo blocco di generazione per includere tutte le categorie di eventi di eliminazione file.
Blocco di generazione	BB:CategoryDefinition: Link Shared Events	Modificare questo blocco di generazione per includere le categorie di eventi correlati condivisi.
Blocco di generazione	BB:CategoryDefinition: Eventi di accesso agli oggetti	Modificare questo blocco di generazione per includere tutte le categorie di eventi correlati all'accesso (file, cartella e così via).
Blocco di generazione	BB:CategoryDefinition: Eventi di download degli oggetti	Modificare questo blocco di generazione per includere tutte le categorie di eventi correlati al download dell'oggetto (file, cartella e così via).
Blocco di generazione	BB:CategoryDefinition: Eventi di caricamento degli oggetti	Modificare questo blocco di generazione per includere tutti gli oggetti (file, cartella e così via) che caricano le categorie di evento correlate.
Blocco di generazione	BB:DeviceDefinition: Dispositivi DLP	Questo blocco di generazione definisce tutte le periferiche DLP (data loss prevention) sul sistema.
Blocco di generazione	BB:DeviceDefinition: Mail	Questo blocco di generazione definisce tutte le periferiche di posta sul sistema.
Blocco di generazione	BB:Exfiltration: file in directory sensibili	Rileva i file che si trovano in percorsi sensibili. I percorsi sensibili sono definiti nella serie di riferimento Percorsi file sensibili. Nota: la serie di riferimento Percorsi file sensibili deve essere popolata.
Regola	Backup del database o file compressi caricati in una cartella accessibile pubblicamente	Questa regola viene attivata quando un backup del database o un file compresso viene caricato in una cartella o in un bucket accessibile pubblicamente. La serie di riferimento Cartelle accessibili pubblicamente deve essere popolata con i nomi cartella pertinenti. Nota: la serie di riferimento delle estensioni file critiche è precompilata con estensioni file critiche e può essere ottimizzata.
Regola	E-mail contenente il file sensibile inviato all'host esterno	Questa regola viene attivata quando un'e-mail che contiene dati sensibili viene inviata a un indirizzo e-mail esterno all'organizzazione. Nota: la serie di riferimento delle directory di file sensibili deve essere popolata con il nome delle cartelle pertinenti. La serie di riferimento dei domini email aziendali deve essere popolata con il dominio email dell'organizzazione.
Regola	E-mail contenente il file sensibile inviato all'host potenzialmente ostile	Questa regola viene attivata quando un'email che contiene un file sensibile viene inviata a un host noto per attività ostili come Phishing, Spam, Malware, Comando e controllo botnet o Cryptocurrency Mining. La serie di riferimento File in directory sensibili è popolata dalla regola File in directory file sensibili. Nota: la serie di riferimento Directory sensibili deve essere popolata.
Regola	Numero eccessivo di eventi di accesso file dallo stesso indirizzo IP di origine	Questa regola si attiva quando almeno 15 file differenti vengono acceduti dallo stesso IP di origine entro 5 minuti. Nota: modificare la funzione AQL per escludere le attività di download legittime note come Aggiornamenti del sistema operativo o Aggiornamenti software.
Regola	Eventi di accesso file eccessivi dallo stesso nome utente	Questa regola viene attivata quando lo stesso nome utente accede ad almeno 15 file diversi entro 5 minuti. Nota: modificare la funzione AQL per escludere le attività di download legittime note come Aggiornamenti del sistema operativo o Aggiornamenti software.
Regola	Numero eccessivo di eventi di download di file dallo stesso IP di origine	Questa regola si attiva quando almeno 10 file differenti vengono scaricati dallo stesso IP di origine entro 5 minuti. Nota: modificare la funzione AQL per escludere le attività di download legittime note come Aggiornamenti del sistema operativo o Aggiornamenti software.
Regola	Numero eccessivo di eventi di download file dallo stesso nome utente	Questa regola si attiva quando almeno 15 file differenti vengono scaricati dallo stesso nome utente entro 5 minuti. Nota: modificare la funzione AQL per escludere le attività di download legittime note come Aggiornamenti del sistema operativo o Aggiornamenti software.
Regola	File a cui è stato eseguito l'accesso o il download da un IP dannoso	Questa regola si attiva quando si accede a un file o lo si scarica da un IP dannoso, ad esempio i server di comando e controllo noti o i server malware.
Regola	File o cartella condivisi con un'e-mail ospitata su un dominio potenzialmente ostile	Questa regola si attiva quando un file o una cartella viene condiviso con un'email associata a domini ostili come gli URL di posta indesiderata, gli URL di phishing, il malware o il mining di criptovalute.
Regola	File o cartella condivisi con un indirizzo email esterno	Questa regola viene attivata quando un file o una cartella vengono condivisi con domini di indirizzi email non aziendali. Nota: la serie di riferimento Domini email aziendali deve essere popolata con il dominio email dell'organizzazione.
Regola	File eliminati dalle directory di file sensibili	Questa regola rileva quando è presente un evento di eliminazione file da una directory di file sensibili e quindi rimuove il nome file dalla serie di riferimenti File in directory sensibili come risposta della regola. Nota: in IBM Security QRadar 7.3.2 e versioni precedenti, la serie di riferimento non si collega correttamente a File nelle directory sensibili - AlphaNumeric. Ciò è stato corretto nella patch 1 di 7.3.2 . Se non è installata la patch 1 7.3.2 , è possibile effettuare le seguenti operazioni: selezionare la regola e fare clic su Avanti. In Risposta regola, fare clic sull'elenco per la serie di riferimento e selezionare File in directory sensibili - AlphaNumeric.
Regola	File in directory di file sensibili	Questa regola rileva quando un nuovo file viene trovato in una directory di file sensibili e quindi aggiunge il nome file alla serie di riferimenti File in directory sensibili come risposta della regola.
Regola	Trasferimento dati in uscita di grandi dimensioni	Questa regola di anomalia si attiva quando più di 5 GB di dati vengono trasferiti a un indirizzo IP entro 4 giorni.
Regola	Trasferimento dati in uscita di grandi dimensioni per flussi	Questa regola di anomalia del flusso si attiva quando più di 1 GB di dati viene trasferito entro 24 ore a un singolo indirizzo IP. Per ulteriori informazioni, consultare la ricerca salvata Attività di rete di trasferimento dati in uscita di grandi dimensioni.
Regola	Trasferimento di dati in uscita su un host File Storage	Questa regola di anomalia dell'evento si attiva quando più di 1 GB di dati viene trasferito a un URL classificato nella categoria X-Force Web Storage, entro 24 ore. La regola è inoltre configurata per corrispondere alla categoria proxy popolata nel set di riferimento, Categorie Web File Storage. Per ulteriori informazioni, consultare la sezione Trasferimento dati in uscita di grandi dimensioni a una ricerca salvata dell'attività di log dell'host File Storage .
Regola	Trasferimento dati in uscita di grandi dimensioni a un host o IP dannoso	Questa regola di anomalia dell'evento si attiva quando più di 1 GB di dati viene trasferito nell'arco di 24 ore a un indirizzo IP o URL classificato in una delle seguenti categorie X-Force: Malware, Botnet Command and Control Server, Spam, Cryptocurrency Mining, IP Scanning (solo su indirizzi IP), Phishing o Bot (solo su indirizzi IP). La regola è configurata anche per corrispondere alla categoria proxy popolata nella serie di riferimento, categorie Web nocive. Per ulteriori informazioni, consultare la sezione Trasferimento dati in uscita di grandi dimensioni a host dannoso o la ricerca salvata dell'attività di log IP.
Regola	Trasferimento dati in uscita di grandi dimensioni a un IP dannoso per i flussi	Questa regola di anomalia del flusso si attiva quando più di 1 GB di dati vengono trasferiti entro 24 ore a un indirizzo IP classificato in una delle seguenti categorie X-Force: Malware, Botnet Command and Control Server, Spam, Cryptocurrency Mining, Scanning IPs, Phishing o Bots. Per ulteriori informazioni, consultare la ricerca salvata Trasferimento dati in uscita di grandi dimensioni a attività di rete IP dannoso.
Regola	QNI: Trasferito contenuto riservato	Questa regola rileva il contenuto riservato trasferito a una destinazione remota. Il contenuto sospetto può essere regolato con regole YARA. Per ulteriori informazioni, consultare la documentazione QNI.
Regola	File sensibili a cui è stato eseguito l'accesso o il download da regioni o paesi con accesso limitato	Questa regola viene attivata quando si accede o si scarica un file riservato da una regione o un paese con accesso limitato. Queste regioni sono definite nel blocco BB:CategoryDefinition: Paesi/Regioni ad accesso limitato.
Regola	Le autorizzazioni file sensibili consentono l'accesso pubblico	Questa regola viene attivata quando le autorizzazioni per un file sensibile sono accessibili pubblicamente. La serie di riferimento File in directory sensibili è popolata dalla regola File in directory file sensibili. Nota: la serie di riferimento Directory sensibili deve essere popolata.
Regola	File sensibile condiviso con un utente o un gruppo guest	Questa regola viene attivata quando un file sensibile viene condiviso con un utente o un gruppo guest. La serie di riferimento File in directory sensibili viene popolata dalla regola File in directory di file sensibili, che utilizza la serie di riferimento Directory sensibili. Nota: le serie di riferimento Directory sensibili e Utenti di accesso guest devono essere popolate.
Regola	File sensibile caricato in una cartella accessibile pubblicamente	Questa regola si attiva quando un file sensibile viene caricato in una cartella o in un bucket accessibile pubblicamente.
Regola	Attività sospetta sui dati riservati rilevati dalle periferiche DLP	Questa regola viene attivata quando un'attività sospetta sui dati riservati viene rilevata da un dispositivo DLP. I dispositivi DLP sono definiti nel blocco BB:DeviceDefinition: Dispositivi DLP. Nota: la serie di riferimento delle politiche DLP deve essere popolata.

La seguente tabella mostra i dati di riferimento in IBM Security QRadar Data Exfiltration Content Extension 1.0.0.

Tabella 8. Dati di riferimento in IBM Security QRadar Data Exfiltration Content Extension 1.0.0
Tipo	Nome	Descrizione
Serie di riferimento	Nomi file riservati / sensibili	Contiene un elenco di nomi file riservati o sensibili.
Serie di riferimento	Domini email aziendali	Contiene un elenco di domini email aziendali.
Serie di riferimento	Estensioni file critici	Contiene un elenco di estensioni file critiche.
Serie di riferimento	Normative DLP	Contiene un elenco di politiche DLP.
Serie di riferimento	File Storage	Contiene un elenco di categorie Web di archiviazione file.
Serie di riferimento	File in directory sensibili	Contiene un elenco di nomi file nelle directory sensibili.
Serie di riferimento	Utenti di accesso guest	Contiene un elenco di nomi utente di accesso guest.
Serie di riferimento	IP di destinazione trasferimento dati legittimi	Contiene un elenco di IP di destinazione trasferimento dati legittimi.
Serie di riferimento	Categorie Web dannose	Contiene un elenco di categorie Web dannose.
Serie di riferimento	Cartelle accessibili pubblicamente	Contiene un elenco di nomi di cartelle accessibili pubblicamente.
Serie di riferimento	Directory di file sensibili	Contiene un elenco di directory di file sensibili.

La seguente tabella mostra le ricerche salvate in IBM Security QRadar Data Exfiltration Content Extension 1.0.0.

Tabella 9. Ricerche salvate in IBM Security QRadar Data Exfiltration Content Extension 1.0.0
Nome	Descrizione
Trasferimento dati in uscita di grandi dimensioni	Mostra tutti gli eventi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) a host remoti.
Trasferimento di dati in uscita su un host File Storage	Mostra tutti gli eventi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) agli host di archiviazione file.
Trasferimento dati in uscita di grandi dimensioni su host o IP dannosi	Mostra tutti gli eventi con trasferimento dati in uscita di grandi dimensioni (superiore a 1GB) a host o IP dannosi.
Trasferimento dati in uscita lento in più giorni	Mostra tutti gli eventi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) agli host remoti in più giorni.
Trasferimento dati in uscita lento in più giorni raggruppati per nome utente e IP di origine	Mostra tutti gli eventi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) agli host remoti in più giorni raggruppati per IP di origine e nome utente.
Trasferimento dati in uscita lento in più mesi	Mostra tutti gli eventi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) a host remoti in più mesi.
Trasferimento dati in uscita di grandi dimensioni	Mostra tutti i flussi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) verso IP remoti.
Trasferimento di dati in uscita su un IP dannoso	Mostra tutti i flussi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) a IP dannoso.
Trasferimento dati in uscita lento in più giorni	Mostra tutti i flussi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) a IP remoti in più giorni.
Trasferimento dati in uscita lento in più giorni raggruppato per IP origine	Mostra tutti i flussi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) agli IP remoti in più mesi raggruppati per IP di origine.
Trasferimento dati in uscita lento in più mesi	Mostra tutti i flussi con trasferimento dati in uscita di grandi dimensioni (superiore a 1 GB) a IP remoti in più mesi.

_{(Torna all'inizio)}