mcpField
H
hunting-for-data-exfiltration-indicators

hunting-for-data-exfiltration-indicators

github.com/mukul975安全35.2k66 次安装8 周前更新
代码仓库

关于 hunting-for-data-exfiltration-indicators

面向安全运营和事件响应人员的数据外传狩猎指南，用于发现潜在的数据窃取并评估泄露范围。流程涵盖流量基线、异常传输、目的地分析、协议滥用及文件访问关联。

主要功能

  1. 01界定可能的数据外传渠道
  2. 02建立正常外发流量基线
  3. 03检测传输量异常
  4. 04分析外部目的地与协议滥用
  5. 05关联文件访问并记录处置建议

适用场景

  1. 01调查异常外发数据流量
  2. 02排查 DNS 隧道或云存储外传
  3. 03评估事件中被窃取的数据

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-data-exfiltration-indicators

安装后在 Claude Code 中输入/hunting-for-data-exfiltration-indicators确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

详细介绍

搜寻数据外泄指标

何时使用

  • 在已攻陷环境中搜寻数据窃取行为时
  • 在检测到异常的出站数据量或模式后
  • 在调查潜在的内部威胁数据窃取时
  • 在事件响应期间确定哪些数据被窃取时
  • 当威胁情报表明有数据外泄行动针对您所在行业时

前提条件

  • 带有字节级数据传输指标的网络代理/防火墙日志
  • 具备云上传可见性的 DLP 解决方案或 CASB
  • 用于检测 DNS 外泄的 DNS 查询日志
  • 用于监控附件的电子邮件网关日志
  • 具备数据量异常检测能力的 SIEM

工作流

  1. 定义外泄渠道：识别潜在渠道（HTTP/S 上传、DNS 隧道、电子邮件附件、云存储、可移动介质、加密协议）。
  2. 建立正常数据流基线：在 30 天窗口内，按用户、主机和目的地建立出站数据传输量基线。
  3. 检测数据量异常：识别向外部目的地传输的数据量显著高于基线的主机或用户。
  4. 分析传输目的地：对照威胁情报检查目的地域名/IP，识别新注册域名、个人云存储和境外基础设施。
  5. 检查协议滥用：查找 DNS 隧道（大量/频繁的 TXT 查询）、ICMP 隧道或隐藏在允许协议中的数据。
  6. 与文件访问关联：将外泄指标与敏感文件共享、数据库或代码仓库上的文件访问事件关联起来。
  7. 报告与遏制：记录带有证据的调查结果，估计数据暴露范围，并建议遏制措施。

关键概念

概念描述
T1041通过 C2 通道外泄
T1048通过替代协议外泄
T1048.001通过对称加密的非 C2 通道外泄
T1048.002通过非对称加密的非 C2 通道外泄
T1048.003通过未加密/混淆的非 C2 通道外泄
T1567通过 Web 服务外泄
T1567.002外泄至云存储
T1052通过物理介质外泄
T1029定时传输
T1030数据传输大小限制（暂存）
T1537将数据传输至云账户
T1020自动化外泄

工具与系统

工具用途
Splunk用于数据量分析和 SPL 查询的 SIEM
Zeek用于数据流分析的网络元数据
Microsoft Defender for Cloud Apps用于云外泄检测的 CASB
Netskope云 DLP 和外泄检测
Suricata用于协议异常检测的网络 IDS
RITADNS 外泄和信标检测
ExtraHop用于数据流的网络流量分析

常见场景

  1. 云存储外泄：用户通过浏览器将敏感文档上传到个人 Google Drive 或 Dropbox。
  2. DNS 隧道：恶意软件将数据编码到 DNS 子域查询中，外泄至攻击者控制的名称服务器。
  3. HTTPS 上传：已攻陷系统通过加密 HTTPS 向 C2 服务器 POST 大型数据块。
  4. 电子邮件附件外泄：内部人员将敏感文档转发至个人电子邮件账户。
  5. 暂存与压缩：攻击者先将数据暂存到压缩归档中，再进行缓慢外泄以规避检测。

输出格式

Hunt ID: TH-EXFIL-[DATE]-[SEQ]
Exfiltration Channel: [HTTP/DNS/Email/Cloud/USB]
Source: [Host/User]
Destination: [Domain/IP/Service]
Data Volume: [Bytes/MB/GB]
Time Period: [Start - End]
Protocol: [HTTPS/DNS/SMTP/SMB]
Files Involved: [Count/Types]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]

评论

支持 Markdown