Indicadores de red: beaconing, ancho de banda inusual, tráfico peer-to-peer irregular, dispositivos no autorizados, escaneos, puertos inesperados

Los indicadores de red son patrones en el tráfico que sugieren un compromiso. Importan porque el malware casi siempre necesita comunicarse: para recibir comandos, para propagarse o para enviar datos robados hacia afuera. Encuentras estos patrones en los logs del firewall, en NetFlow o registros de flujo similares, en los logs del proxy y del sistema de nombres de dominio (DNS) y en las capturas de paquetes. La mayoría de los indicadores de red solo tienen sentido frente a una línea base, es decir, una imagen de cómo se ve el tráfico normal para ese host, esa subred o esa hora del día.