Il comportamento di trasferimento in uscita è un'attività di rete che suggerisce che i dati stiano lasciando un ambiente. Può includere caricamenti di grandi dimensioni, connessioni ripetute a archiviazione cloud, uso insolito di FTP, HTTPS, tunneling DNS o altri modelli di traffico che non corrispondono alla normale attività aziendale. Il comportamento non è di per sé una prova di furto, ma è un segnale utile che indica che file sensibili potrebbero spostarsi verso una destinazione esterna.
I team di sicurezza monitorano questo schema perché spesso compare durante l'esfiltrazione dei dati, l'abuso dei backup o l'uso non autorizzato di strumenti di sincronizzazione. I difensori confrontano il traffico con le baseline, il contesto delle identità e la telemetria degli endpoint per stabilire se il trasferimento sia legittimo o malevolo. Negli attacchi, il comportamento di trasferimento in uscita può seguire la compromissione iniziale e il movimento laterale, quando un intruso tenta di copiare i dati all'esterno prima del contenimento. Nelle difese, gli avvisi di proxy, firewall, CASB, DLP e sistemi SIEM aiutano gli investigatori a confermare l'ambito, preservare le prove e impedire ulteriori perdite.