Фильтр всех соеденений, особый упор на нестандарные порты, приложения стучащие в инет с таких портов. Тут конечно можно посмотреть на meterpreter reverse_https , который не так подозрительный - следует более глубокое вмешательство в работу системы безопасности компании.