Il movimento dati in uscita è qualsiasi traffico che lascia una rete, un host o un servizio cloud. Può includere trasferimenti di file, esportazioni di database, sincronizzazioni cloud, allegati email, chiamate API o sessioni crittografate verso una destinazione esterna. Nel triage di un incidente, questo è importante perché gli attaccanti spesso cercano di spostare i dati rubati fuori dall'ambiente prima di essere rilevati.
Gli addetti alla difesa esaminano il movimento dati in uscita per distinguere l'attività aziendale normale da una possibile esfiltrazione sospetta. I segnali utili includono volume insolito, destinazioni rare, nuovi protocolli, orari anomali e trasferimenti da sistemi sensibili. Negli attacchi reali, il movimento in uscita può essere un backup di file rubati verso l'infrastruttura dell'attaccante, ma può anche trattarsi di un'attività amministrativa legittima, quindi il contesto è essenziale. Quando un'organizzazione viene nominata in una rivendicazione di estorsione, verificare il movimento dati in uscita aiuta a stabilire se l'affermazione è supportata da prove tecniche o se si tratta solo di un'accusa pubblica.