Zaobserwowanie, że jeden komputer wysyła dużo danych do wielu różnych komputerów, jest klasycznym przykładem anomalii, która wymaga interpretacji kontekstowej. Taki wzorzec nie wskazuje automatycznie jednej przyczyny, bo podobnie może wyglądać zarówno ruch legalny, jak i złośliwy.
Odpowiedź "Wszystkie powyższe odpowiedzi są prawdopodobne" jest poprawna, ponieważ każda z wymienionych sytuacji może generować ruch typu "jeden nadawca → wielu odbiorców":
- Serwer plików: wiele stacji może pobierać pliki/aktualizacje lub korzystać z udziałów sieciowych. W efekcie serwer intensywnie wysyła dane do wielu klientów.
- Infekcja złośliwym oprogramowaniem: komputer może skanować sieć, próbować rozprzestrzeniać się na inne hosty, wysyłać dane do wielu adresatów lub realizować zadania w ramach botnetu. To często daje nietypowy, rozproszony ruch.
- Strumieniowanie multimediów: jeśli komputer pełni rolę źródła transmisji (np. lokalny serwer wideo, prezentacja, webcast w sieci firmowej), może wysyłać duże ilości danych równolegle do wielu odbiorców.
Pojedyncze wskazanie tylko "serwer plików" jest niewystarczające, bo ten sam objaw może wynikać z incydentu bezpieczeństwa. Z kolei samo "zainfekowany" też nie jest pewne bez dodatkowych dowodów (np. nietypowe porty, procesy, alerty EDR, połączenia do podejrzanych domen). Podobnie "streaming" może być prawdziwy, ale wymaga potwierdzenia (aplikacja, protokół, harmonogram zdarzeń).
W praktyce administrator powinien zebrać dane uzupełniające: dokąd trafiają pakiety (LAN czy Internet), jakie porty/protokoły dominują, czy ruch jest ciągły czy skokowy, oraz czy koreluje to z usługą uruchomioną na hoście. Dopiero wtedy można postawić wiarygodną diagnozę.
