Tengo registros de FTP y algunos otros registros que suponen que el entorno corporativo está monitoreado activamente. ¿Cómo sabría que el usuario está usando ftp para transferir un archivo normal y no está usando el mismo para transferir un archivo confidencial de una organización? o en otras palabras, ¿cómo identificaría I (como analista social) que el servidor ftp es el servidor que la empresa no está utilizando para el almacenamiento de datos, pero el empleado está utilizando ese servidor ftp en particular para el almacenamiento de datos? Y la transferencia de datos a ese servidor se considerará como Exfiltración de datos. Supongamos que tiene acceso a todos los registros y que puede usarlos para el análisis. Agradecería que alguien me explicara qué registros debo considerar y qué campos son críticos en esos registros y cómo.