Exfiltração de dados
A retirada não autorizada de dados de dentro de uma organização — o "roubo" propriamente dito num vazamento. O atacante copia informações sensíveis (dados de clientes, código-fonte, segredos) e as contrabandeia para fora, geralmente como etapa final depois de já ter se movimentado pela rede.
Métodos: criptografar e comprimir os dados (para esconder o conteúdo e reduzir o tamanho) e então enviá-los por um canal oculto — HTTPS até um servidor do atacante, armazenamento em nuvem (Dropbox, Mega), tunelamento de DNS, um canal de C2, ou fisicamente via USB. Atacantes costumam dividir e reduzir o ritmo do fluxo de saída ("low and slow") para se misturar ao tráfego normal e evitar alarmes. Costuma ser o objetivo de toda a invasão (depois de reconhecimento, acesso inicial, movimentação lateral) e o último passo da kill chain. Defesas: DLP (Data Loss Prevention — detecta/bloqueia dados sensíveis saindo), filtragem de saída (egress, limita para onde o tráfego pode ir), detecção de anomalias (fluxos de saída anormalmente grandes) e criptografia, para que dados roubados fiquem ilegíveis. É o momento em que uma invasão vira um vazamento de dados de verdade. Relacionado a tunelamento de DNS e DLP.