name: hunting-for-data-exfiltration-indicators
description: 通过网络流量分析狩猎数据外泄行为，检测异常数据流、DNS 隧道、云存储上传以及加密通道滥用。
domain: cybersecurity
subdomain: threat-hunting
tags: [threat-hunting, mitre-attack, data-exfiltration, dlp, network-analysis, proactive-detection]
version: "1.0"
author: mahipal
license: Apache-2.0
狩猎数据外泄指标
适用场景
- 在失陷环境中主动狩猎数据窃取行为时
- 检测到异常出站数据量或异常模式后
- 调查潜在的内部威胁数据窃取事件时
- 事件响应期间确认哪些数据遭到窃取时
- 威胁情报显示针对所在行业的数据外泄活动时
前置条件
- 包含字节级数据传输指标的网络代理/防火墙日志
- 具备云上传可见性的 DLP 解决方案或 CASB
- 用于检测 DNS 外泄的 DNS 查询日志
- 用于附件监控的邮件网关日志
- 具备数据量异常检测能力的 SIEM
工作流程
- 定义外泄通道：识别潜在通道（HTTP/S 上传、DNS 隧道、邮件附件、云存储、可移动介质、加密协议）。
- 建立正常数据流基线：在 30 天窗口内，按用户、主机和目标地址建立出站数据传输量基线。
- 检测流量异常：识别向外部目标传输数据量显著超出基线的主机或用户。
- 分析传输目标：针对威胁情报核查目标域名/IP，识别新注册域名、个人云存储及境外基础设施。
- 检测协议滥用：寻找 DNS 隧道（大量/高频 TXT 查询）、ICMP 隧道或隐藏在允许协议中的数据。
- 关联文件访问事件：将外泄指标与敏感文件共享、数据库或代码仓库上的文件访问事件进行关联。
- 报告与遏制：记录含证据的调查结果、估算数据暴露范围，并提出遏制措施建议。
核心概念
| 概念 | 描述 |
|---|
| T1041 | 通过 C2 通道外泄数据 |
| T1048 | 通过替代协议外泄数据 |
| T1048.001 | 通过对称加密非 C2 通道外泄 |
| T1048.002 | 通过非对称加密非 C2 通道外泄 |
| T1048.003 | 通过未加密/混淆非 C2 通道外泄 |
| T1567 | 通过 Web 服务外泄数据 |
| T1567.002 | 外泄至云存储 |
| T1052 | 通过物理介质外泄 |
| T1029 | 定时传输 |
| T1030 | 数据传输大小限制（暂存） |
| T1537 | 转移数据至云账户 |
| T1020 | 自动化外泄 |
工具与系统
| 工具 | 用途 |
|---|
| Splunk | 数据量分析与 SPL 查询的 SIEM |
| Zeek | 用于数据流分析的网络元数据 |
| Microsoft Defender for Cloud Apps | 云外泄检测的 CASB |
| Netskope | 云 DLP 与外泄检测 |
| Suricata | 协议异常检测的网络 IDS |
| RITA | DNS 外泄与信标检测 |
| ExtraHop | 数据流分析的网络流量分析 |
常见场景
- 云存储外泄：用户通过浏览器将敏感文档上传至个人 Google Drive 或 Dropbox。
- DNS 隧道：恶意软件将数据编码至 DNS 子域名查询，发送至攻击者控制的名称服务器。
- HTTPS 上传：失陷系统通过加密 HTTPS 将大量数据 POST 至 C2 服务器。
- 邮件附件外泄：内部人员将敏感文档转发至个人邮箱账户。
- 暂存与压缩：攻击者将数据打包为压缩文件后缓慢外泄，以规避检测。
输出格式
狩猎 ID：TH-EXFIL-[日期]-[序号]
外泄通道：[HTTP/DNS/邮件/云/USB]
来源：[主机/用户]
目标：[域名/IP/服务]
数据量：[字节/MB/GB]
时间段：[开始 - 结束]
协议：[HTTPS/DNS/SMTP/SMB]
涉及文件：[数量/类型]
风险等级：[严重/高/中/低]
置信度：[高/中/低]