关于 detecting-insider-data-exfiltration-via-dlp
面向 SOC 分析人员的安全分析技能，用于调查可能的内部数据外泄。它通过分析活动日志、行为基线和统计异常，识别可疑传输与访问模式。
主要功能
- 01分析终端、云端和邮件事件
- 02建立用户上传量基线
- 03统计异常检测
- 04检查非工作时段及异常访问
适用场景
- 01调查疑似内部数据窃取
- 02编写威胁狩猎查询和检测规则
- 03检查外泄监控覆盖情况
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/detecting-insider-data-exfiltration-via-dlp确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
LICENSEreferences/api-reference.mdscripts/agent.py详细介绍
通过 DLP 检测内部人员数据外泄
何时使用
- 在调查需要通过 DLP 检测内部人员数据外泄的安全事件时
- 在为此领域构建检测规则或威胁狩猎查询时
- 当 SOC 分析师需要针对此类分析的结构化流程时
- 在验证相关攻击技术的安全监控覆盖范围时
前置条件
- 熟悉安全运营概念和工具
- 可访问测试或实验环境以安全执行
- Python 3.8+ 并已安装所需依赖
- 任何测试活动均已获得适当授权
操作说明
分析端点活动日志、云存储访问和电子邮件 DLP 事件，利用行为基线和统计异常检测来发现 数据外泄模式。
import pandas as pd
df = pd.read_csv("file_activity.csv", parse_dates=["timestamp"])
# Baseline: average daily upload volume per user
baseline = df.groupby(["user", df["timestamp"].dt.date])["bytes_transferred"].sum()
user_avg = baseline.groupby("user").mean()
# Alert on users exceeding 3x their baseline
today = df[df["timestamp"].dt.date == pd.Timestamp.today().date()]
today_totals = today.groupby("user")["bytes_transferred"].sum()
anomalies = today_totals[today_totals > user_avg * 3]
关键指标：
- 上传量超过每日基线的 3 倍
- 访问正常范围之外的文件
- 离职前的批量下载
- 非工作时间文件访问模式
- USB/外部设备使用量激增
示例
# Detect off-hours activity
df["hour"] = df["timestamp"].dt.hour
off_hours = df[(df["hour"] < 6) | (df["hour"] > 22)]
suspicious = off_hours.groupby("user").size().sort_values(ascending=False)
评论
支持 Markdown