Duży wolumen danych wysyłanych z jednego komputera do drugiego w sieci lokalnej jest objawem, a nie diagnozą. Bez dodatkowych informacji (jak protokół, porty, czas trwania, pory dnia, nazwy procesów, korelacja z logami serwera, wskaźniki kompromitacji) nie da się uczciwie wskazać jednej pewnej przyczyny.
Odpowiedź "Wszystkie powyższe odpowiedzi są prawdopodobne" jest poprawna, bo wymienione scenariusze są typowe:
- "Komputer jest zainfekowany wirusem" (szerzej: złośliwym oprogramowaniem) – malware może wykonywać masową wysyłkę danych, np. eksfiltrację plików lub rozsyłanie treści do innych hostów.
- "Komputer jest używany do przesyłania dużych plików" – legalne kopiowanie obrazów ISO, archiwów, kopii zapasowych, projektów graficznych lub maszyn wirtualnych w LAN generuje bardzo duży transfer.
- "Komputer jest używany do strumieniowania multimediów" – serwer multimediów, transmisja z kamery IP, udostępnianie ekranu lub stream wideo do wielu klientów może powodować stały wysoki bitrate również wewnątrz sieci lokalnej.
Dlaczego pozostałe odpowiedzi (pojedynczo) nie są "najbardziej prawdopodobne" w oderwaniu od kontekstu? Ponieważ każda z nich wymaga dodatkowych przesłanek. Infekcję potwierdza się m.in. korelacją z alertami EDR/AV, nietypowymi domenami, procesami i harmonogramem. Transfer dużych plików rozpoznaje się po protokołach (np. SMB/FTP/SFTP), wzorcach sesji i kierunku ruchu. Strumieniowanie sugerują protokoły multimedialne, stały strumień i charakterystyczny rozkład pakietów.
W praktyce administrator po takiej obserwacji powinien wykonać kolejne kroki: sprawdzić protokół i porty, zidentyfikować aplikację generującą ruch na hoście, ocenić czy transfer jest zgodny z polityką firmy oraz czy nie występują inne symptomy incydentu. Dopiero wtedy wybiera się jedną, najbardziej uzasadnioną hipotezę.
