数据外泄调查指南
如何调查疑似数据外泄：流量异常、出站漏斗，以及网络、端点与账户遥测的关联分析。
快速解答
调查数据外泄时，先找出出站漏斗——异常大/高流量的出站传输、不寻常的目的地主机或协议，以及执行这些传输的账户/系统——然后界定范围、遏制并保全证据。
定义
针对疑似数据外泄事件的调查程序：关联出站流量异常、传输方法与账户/系统遥测，以界定损失范围。
目标
确定数据是否已离开环境、被取走了什么、被谁取走、何时以及通过何种渠道——并为响应保全证据链（MITRE 数据外泄战术，TA0010）。
前置条件
- 网络出口日志（字节数、目的地、协议）与云/爆炸半径（blast radius）元数据。
- 目标账户的端点与身份（认证）日志。
证据收集
- 捕获出站流量统计：主要 源→目的地 字节计数、异常协议（罕见端口）与时间。
- 快照相关文件/数据集及其访问历史；对样本做哈希以便识别。
- 记录疑似身份的账户登录与数据访问事件。
指标
- 持续大量出站流量指向单一主机、云传输/归档服务（T1567）、DNS 隧道，或先暂存后上传的分阶段归档。
验证
- 将出站流量异常与账户/系统事件关联；仅凭流量突增是弱证据——应与访问历史或匹配的 IOC 结合。
调查
- 识别主要途径（网络出口 vs 云），并由目的地 → 源账户 → 源主机进行枢纽。对目的地使用 IP/DNS 声誉检查（
guides:tool-ip-guide、guides:tool-dns-guide）。
决策
- 若数据敏感度高或已确认入侵，则宣布界定范围与遏制负责人。
遏制与缓解
- 阻断/禁用涉事账户，隔离主机，停止出口通道。
- 轮换机密；撤销委派的/云令牌（
security:secrets-management）。
恢复与验证
- 通知受影响的相关方，恢复/作废风险数据，并重新验证数据外泄已停止。
参考资料
- MITRE ATT&CK TA0010 / T1567；CISA 指南如所列。