detecting-insider-data-exfiltration-via-dlp

DLP によるインサイダーデータ流出の検知

使用するタイミング

• DLP によるインサイダーデータ流出の検知を必要とするセキュリティインシデントを調査するとき
• この分野の検知ルールまたは脅威ハンティングクエリを作成するとき
• SOC アナリストがこの種の分析に対する構造化された手順を必要とするとき
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証するとき

前提条件

• セキュリティオペレーションの概念およびツールに関する知識があること
• 安全に実行するためのテストまたはラボ環境にアクセスできること
• 必要な依存関係がインストールされた Python 3.8 以降があること
• テスト活動に対する適切な承認を得ていること

手順

エンドポイントのアクティビティログ、クラウドストレージへのアクセス、メール DLP イベントを分析し、 行動ベースラインと統計的な異常検知を用いてデータ流出のパターンを検出します。

import pandas as pd

df = pd.read_csv("file_activity.csv", parse_dates=["timestamp"])
# Baseline: average daily upload volume per user
baseline = df.groupby(["user", df["timestamp"].dt.date])["bytes_transferred"].sum()
user_avg = baseline.groupby("user").mean()

# Alert on users exceeding 3x their baseline
today = df[df["timestamp"].dt.date == pd.Timestamp.today().date()]
today_totals = today.groupby("user")["bytes_transferred"].sum()
anomalies = today_totals[today_totals > user_avg * 3]

主な指標:

1. アップロード量が日次ベースラインの 3 倍を超える
2. 通常の範囲外のファイルへのアクセス
3. 退職前の一括ダウンロード
4. 業務時間外のファイルアクセスパターン
5. USB/外部デバイスの使用量の急増

例

# Detect off-hours activity
df["hour"] = df["timestamp"].dt.hour
off_hours = df[(df["hour"] < 6) | (df["hour"] > 22)]
suspicious = off_hours.groupby("user").size().sort_values(ascending=False)