大多数人认为我们应该阻止黑客入侵。但是，一旦黑客进入你的公司，他们是如何得到数据的Trustwave公司吗SpiderLabs的研究揭示了答案对我们很简单。

网络罪犯在攻击方式上变得越来越复杂，我们也常常把它与数据隐藏的方法等同起来，虽然移动设备或物理窃贼也可以被使用，但数据的潜在回报或输出通常发生在网络信道系统上复制数据的过程中。

200数据违反SpiderLabs进行调查24个不同国家的2009。虽然网络犯罪分子得到不同方式的违规行为得到的数据，他们的进攻环境通常是通过远程访问这些应用程序是由目标企业使用。在SpiderLabs调查中，45%的违法行为进行远程访问和系统的应用使违反了。这不是一个零日漏洞攻击或复杂的应用程序漏洞。攻击的现象似乎没有多大不同于远程连接网络的员工和CEO在出货过程之间，攻击者不必通过蛮force.spiderlabs帐号发现90%的攻击是成功的因为供应商很容易读或默认的密码，如温度：温度或尼姆达管理。

一旦一个立足点的建立，攻击者经常使用网络枚举工具。网络枚举工具经常被攻击者在同一环境或检索系统信息，其他目标矿山，如用户名、组权限、网络共享和提供的服务。如果枚举工具采集噪声，可能被攻击的可能被排除在外。糟糕的是，我们发现，大多数组织没有适当的监控自己的系统，所以他们并没有意识到这些现象。

作为一个工具，它允许攻击者通过一个值得信赖的私人电路进入另一个酒店的产权制度，unlawless元素，然后使用内部连接，最终导致这些网站相对分散的物理分布的数据违反。

一旦攻击者访问目标企业，他们就使用手动或自动方法获取数据。手动方法可用于窃取易受攻击的数据库和文件，操作系统可以使用特定关键字进行搜索，从而进一步确定数据。

自动的方法主要是写特殊的恶意软件，并在处理机密信息的应用程序的安全控制漏洞来实现目标。在一般情况下，许多应用程序的安全设计不适用于其他控件和数据处理组件的报警功能不清楚。虽然数据是由目标系统处理，得到目标系统，存储加密的数据并且将数据传送到上游主机很容易受到数据的行为。这是由于系统处理的数据必须被解密的RAM使应用程序可以使用。在这个过程中，网络罪犯使用的RAM解析器多次在SpiderLabs调查2009.67%与malware，表示自动工具用于获取非ram数据。

如何处理

平均而言，网络罪犯有156天的时间来获得目标系统或数据。这期间，攻击者进入环境，建立自己的工具来移动数据，与它之前的人员或部门采取行动，他们的行动得到的数据。2009一些调查显示，一些网络犯罪分子经常有频繁的活动在三年。2009更典型的长期测试似乎已经使用了一些网络罪犯的活动不是无形的知识。

在38的情况下，网络犯罪分子使用的远程访问程序的输入数据的提取第一次。现有的其他服务，如本地FTP和HTTP客户端的功能，通常用于数据泄漏。特别是当恶意软件用于数据泄漏，FTP的功能，SMTP和IRC将在定期观察。对特殊的恶意软件逆向分析的过程中，二元会泄露FTP功能的存在，包括硬编码IP地址和证书。有现成的恶意程序，如键盘记录程序，攻击者经常泄漏数据内置FTP和电子邮件功能。当邮件服务是用来提取数据，攻击者通常会安装恶意的SMTP服务器直接向系统这是受到侵害，从而保证这些数据可以正常传输。

只有少数病例数据泄漏使用的加密通道，进一步表明罪犯不担心报警的存在。因为当地可用的网络服务的存在，以及适当的出口过滤和不当的系统检测实践的缺乏，犯罪分子往往利用网络服务或安装自己的基本服务。

显然，在任何情况下，敏感数据都会传输到目标环境中，在这个过程中，IT安全团队不会监视数据泄漏的发生。

当寻找攻击的迹象，IT安全团队似乎认为情况复杂，攻击者往往是很简单的，甚至可能表现为在常规日志评论良性之前的数据被排除在目标环境中，没有一个违规的迹象。支付密切关注的标准系统；；正常活动是为了避免它的一项重要措施。我们要看看每一个异常行为持怀疑态度的视角，通过内部调查解决问题。如有必要，我们应邀请外部专家来重新审视它。