重要提示：本站仅作 Skill 资源导航与收录，正文以 GitHub 原仓库为准，版权归原项目所有。
以下为摘要预览，完整内容请查看 GitHub 原文。
Hunting for Data Exfiltration Indicators
When to Use
- When hunting for data theft in compromised environments
- After detecting unusual outbound data volumes or patterns
- When investigating potential insider threat data theft
- During incident response to determine what data was stolen
- When threat intel indicates data exfiltration campaigns targeting your sector
Prerequisites
- Network proxy/firewall logs with byte-level data transfer metrics
- DLP solution or CASB with cloud upload visibility
- DNS query logs for DNS exfiltration detection
- Email gateway logs for attachment monitoring
- SIEM with data volume anomaly detection capabilities
Workflow
- Define Exfiltration Channels: Identify potential channels (HTTP/S uploads, DNS tunneling, email attachments, cloud storage, removable media, encrypted protocols).
- Baseline Normal Data Flows: Establish baseline outbound data transfer volumes per user, host, and destination over a 30-day window.
- Detect Volume Anomalies: Identify hosts or users transferring significantly more data than baseline to external destinations.
- Analyze Transfer Destinations: Check destination domains/IPs against thr…
以下为摘要预览，完整内容请查看 GitHub 原文。
Hunting for Data Exfiltration Indicators（数据外泄迹象狩猎）
适用场景
- 在已被入侵的环境中狩猎数据窃取行为
- 在检测到异常的出站数据量或模式之后
- 在调查潜在的内部威胁数据窃取行为时
- 在事件响应过程中，用于确定哪些数据被窃取
- 当威胁情报显示针对你所在行业的数据外泄活动时
前置条件
- 具有字节级数据传输指标的网络代理/防火墙日志
- 具备云端上传可见性的 DLP 解决方案或 CASB
- 用于 DNS 外泄检测的 DNS 查询日志
- 用于附件监控的邮件网关日志
- 具备数据量异常检测能力的 SIEM
工作流
- 界定外泄信道：识别潜在信道（HTTP/S 上传、DNS 隧道、邮件附件、云存储、可移动介质、加密协议）。
- 建立正常数据流基线：在 30 天的时间窗口内，按用户、主机和目的地建立出站数据传输量的基线。
- 检测流量异常：识别向外传输数据量显著高于基线的主机或用户。
- 分析传输目的地：依据威胁情报核查目的域名/IP，识别新注册的域名、个人云存储以及境外基础设施。
- 检查协议滥用：查找 DNS 隧道（大型/频繁的 TXT 查询）、ICMP 隧道，或隐藏在允许协议中的数据。
- 与文件访问进行关联：将外泄迹象与敏感文件共享、数据库或代码仓库上的文件访问事件相关联。
- 报告与遏制：记录附有证据的发现，估算数据暴露范围，并建议遏制措施。
核心概念
| 概念 | 描述 |
|---|
| T1041 | Exfiltration Over C2 Channel |
| T1048 | Exfiltration Over Alternative Protocol |
| T1048.001 | Exfiltration Over Symmetric Encrypted Non-C2 |
| T1048.002 | Exfiltration Over Asymmetric Encrypted Non-C2 |
| T1048.003 | Exfiltration Over Unencrypted/Obfuscated Non-C2 |
| T1567 | Exfiltration Over Web Service |
| T1567.002 | Exfiltration to Cloud Storage |
| T1052 | Exfiltration Over Physical Medium |
| T1029 | Scheduled Transfer |
| T1030 | Data Transfer Size Limits（staging） |
