Detectando Exfiltração de Dados Interna via DLP

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de exfiltração de dados interna via DLP
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Analise logs de atividade de endpoint, acesso a armazenamento em nuvem e eventos de DLP de e-mail para detectar padrões de exfiltração de dados usando linhas de base comportamentais e detecção de anomalias estatísticas.

import pandas as pd

df = pd.read_csv("file_activity.csv", parse_dates=["timestamp"])
# Baseline: average daily upload volume per user
baseline = df.groupby(["user", df["timestamp"].dt.date])["bytes_transferred"].sum()
user_avg = baseline.groupby("user").mean()

# Alert on users exceeding 3x their baseline
today = df[df["timestamp"].dt.date == pd.Timestamp.today().date()]
today_totals = today.groupby("user")["bytes_transferred"].sum()
anomalies = today_totals[today_totals > user_avg * 3]

Indicadores-chave:

1. Volume de upload excedendo 3x a linha de base diária
2. Acesso a arquivos fora do escopo normal
3. Downloads em massa antes da demissão
4. Padrões de acesso a arquivos fora do horário normal
5. Picos de uso de dispositivos USB/externos

Exemplos

# Detect off-hours activity
df["hour"] = df["timestamp"].dt.hour
off_hours = df[(df["hour"] < 6) | (df["hour"] > 22)]
suspicious = off_hours.groupby("user").size().sort_values(ascending=False)