一旦攻击者进入数据库、维基或邮箱，他们想要的只有一件事：数据。外泄不需要malware或特殊工具。有效的登录凭证或单个易受攻击的网络应用程序就足够了，复制过程看起来像正常流量，直到有人检查流量量。AI缩短了入侵与带走最佳记录之间的时间。
什么是数据外泄？
数据外泄是指未经授权将数据从系统、网络或云服务传输到攻击者控制的位置。安全团队也将其用作动词：攻击者外泄数据。数据泄露描述的是暴露本身，而数据泄漏通常意味着暴露是意外的。外泄是故意的，背后的人可能是外部攻击者或内部人员。
数据外泄示例
以数据库接管为例。攻击者利用易受攻击的网络应用程序，控制注册数据库并导出数百万条记录。内部网转储则不同：拥有被盗credentials的人复制整个公司维基，包括流程和架构笔记，有时还有人们粘贴到页面上的 credentials。
Mailbox 导出更为隐蔽。接管账户后，攻击者会提取Mailbox并搜索发票、合同和个人数据。双重勒索软件增加了额外威胁。攻击者先复制数据，然后加密系统，并告知受害者如果不支付赎金，数据将被公开。
常见的数据外泄技术
大多数数据外泄遵循以下几种途径之一：
- 被盗凭证： 有效登录通过正常接口读取和复制数据，因此活动看起来像是常规使用。
- 应用缺陷： 网络应用、CMS平台和API中的弱点使攻击者能够无需登录直接提取数据。
- 内部人员： 员工和承包商将数据复制到个人存储、USB驱动器或电子邮件。
- 云同步和上传： 数据被转移到个人账户或文件共享服务。
- 准备和传输： 无论数据通过哪条路径被传出，攻击者通常会先将其压缩成大型档案，然后通过 HTTPS、DNS 或网络已允许的其他渠道发送。
人工智能如何改变数据外泄
复制数据从来不是慢的部分。选择带走什么和整理返回的数据曾占据攻击者大部分时间。人工智能正是加速了这些工作。
被盗数据按含义进行搜索
Loot mining 过去指的是关键词搜索和手动浏览。现在，模型可以读取文档、电子表格和电子邮件线程，提取合同、客户记录和凭证，即使文件名无意义。大量数据转储的搜索速度远快于人类阅读。
在复制任何内容之前，目标会被排名
文件夹名称、文件元数据和示例内容告诉模型哪些shares和数据库包含最敏感的材料。攻击者会优先获取这些数据，跳过低价值文件，因此传输保持更小更安静。
被盗记录按价格排序
个人数据、健康记录、支付数据和知识产权各自具有不同的转售和勒索价值。模型可以按类型对被盗记录进行分类，并起草引用特定文件的勒索信息，且点名你的文档的勒索要求难以忽视。
收集通过脚本运行
枚举、复制、压缩、准备、发送。每个步骤都可以脚本化并自动重试，一个流程可以同时针对多个组织运行。
传统数据外泄与AI辅助
Stage | Traditional exfiltration | AI-assisted exfiltration |
|---|---|---|
|
Finding valuable data |
Keyword searches and manual browsing |
Documents and mail read by meaning, including badly named files |
|
Choosing what to take |
Grab everything or guess |
Targets ranked by content, with low-value data left behind |
|
Sorting stolen data |
Analysts read through dumps by hand |
Records classified by type and estimated value |
|
Extortion and resale |
Generic demands |
Messages that cite specific files and records |
|
Collection and staging |
Operator runs commands step by step |
Scripted routines enumerate, copy, compress, and send |
|
Scale |
A few victims at a time |
The same process run against many organizations |
|
What defenders see |
Large transfers that stand out |
Smaller, targeted transfers that blend into normal traffic |
数据外泄检测
注意异常位置的大型档案、不符合当天的外发量、连接到不熟悉的目的地、大量读取数据库或邮箱、奇怪时间的文件共享访问，以及读取其从未接触过数据的账户。
暂存是较容易检查的步骤之一。此Linux命令列出过去24小时内创建的大型归档。
find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null
PowerShell 版本在 Windows 上执行相同操作。请指向您的文件共享路径，因为扫描整个 C: 盘需要很长时间。
Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue |
Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } |
Select-Object FullName, Length, CreationTime
此类检查适用于单台服务器。在文件服务器、SharePoint、邮箱和数据库中，它们往往滞后，大规模传输通常只有在数据离开后才能看到。更可靠的控制始于更早阶段，即了解你所拥有的内容。
防止数据外泄：减少值得窃取的内容
Network 和 endpoint 控制很重要，每一项都依赖于了解哪些数据是敏感的。许多组织无法说明个人数据、支付数据和知识产权的位置，也不知道谁能访问它们。上述每种技术在针对无人分类、锁定或记忆的数据时效果更佳。
Netwrix Data Classification 持续在Windows文件服务器、NetApp、Dell EMC、Nutanix Files、SharePoint、Microsoft 365、Exchange、SQL Server、Oracle、MySQL、Box、Dropbox和Google Drive中发现敏感和受监管的数据。预定义规则涵盖GDPR、HIPAA和PCI DSS，自定义分类法处理您的业务特定数据。
风险评估显示哪些敏感数据最易暴露。自动修复随后将敏感文件移动到安全位置，移除全局访问组的权限，并编辑机密内容。ROT检测 标记冗余、过时和琐碎的数据，便于清理。数据越少、控制越严格，攻击者可搜索的地方就越少。
分类标签也可以嵌入文件中，这提高了DLP和IRM工具的准确性。分类减少了暴露的内容，并告诉其他控制措施哪些内容需要保护。在端点阻止传输是DLP的工作，Netwrix Endpoint Protector 在Windows、macOS和Linux上的USB设备、浏览器、电子邮件和AI工具中应用这些策略。
数据外泄防护检查清单
- 查找敏感数据所在位置，包括文件服务器、SharePoint、邮箱和数据库。
- 按类型分类，如个人数据、支付数据和知识产权，并保持分类的最新状态。
- 从全局访问组开始，移除过多权限。
- 删除或归档冗余、过时和琐碎的数据。
- 将敏感文件从开放共享移动到受控位置。
- 在端点对USB设备、浏览器、电子邮件和AI工具应用DLP控制。
- 注意大型档案和异常的外发传输。
数据外泄常见问题
分享到
了解更多
关于作者
Dan Piazza
产品管理经理
Dan Piazza 是 Netwrix 的产品管理经理，负责多种 Endpoint、DSPM 和 Directory 产品。他自 2013 年起从事技术岗位工作，热衷于网络安全、数据保护、自动化和代码。在担任现职之前，他在一家数据存储软件公司担任产品经理和系统工程师，管理并落地了软件与硬件的 B2B 解决方案。