По возможности отслеживайте активность, связанную с вашей организацией, в социальных сетях. Подозрительная активность может заключаться в появлении людей, утверждающих, что они работают в вашей организации, или в изменении существующих учетных записей, отправляющих множество запросов на подключение к учетным записям, связанным с вашей организацией. В данном случае внимание можно сосредоточить на соответствующих этапах деятельности злоумышленников — например, на этапе первоначального доступа (см. технику Целевой фишинг через сторонние сервисы).

Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов с целью выявления протоколов, использующих проверку SSL/TLS для зашифрованного трафика, которые не соответствуют ожидаемым стандартам этих протоколов и потокам трафика (например, посторонние пакеты, не относящиеся к установленным потокам, а также необычные шаблоны, синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

От этой техники нельзя легко защититься с помощью превентивных мер контроля, поскольку она основана на поведении, осуществляемом вне рамок корпоративных средств защиты и контроля.