› › ›

通过 Airdrop 发送到外部设备的字节数激增

机器学习作业检测到通过 Airdrop 写入外部设备的大量数据字节。在典型的运行环境中，写入外部设备的数据通常具有可预测的模式或一定范围。写入的数据量异常增大是非正常的，可能预示着非法数据复制或传输活动。

规则类型: machine_learning

规则索引: 无

严重性: 低

风险评分: 21

每隔: 15 分钟运行一次

搜索索引自: now-2h (日期数学格式，另请参见 附加回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 4

规则作者:

规则许可证: Elastic License v2

设置

此规则要求安装数据泄露检测集成资源，以及由 Elastic Defend 和网络数据包捕获等集成收集的网络和文件事件（仅限网络事件）。

数据泄露检测设置

数据泄露检测集成通过识别网络和文件事件中的异常来检测数据泄露活动。使用 Elastic 的异常检测功能检测异常。

先决条件

应执行以下步骤来安装与数据泄露检测集成相关的资源

框架: MITRE ATT&CK^TM

策略
- 名称：数据泄露
- ID：TA0010
- 参考网址：https://attack.mitre.org/tactics/TA0010/
技术
- 名称：通过其他网络介质进行数据泄露
- ID：T1011
- 参考网址：https://attack.mitre.org/techniques/T1011/