› › ›

向外部设备发送字节数激增

机器学习作业检测到写入外部设备的数据字节数很高。在典型的操作环境中，写入外部设备的数据通常具有可预测的模式或一定的范围。写入的数据量异常大是不正常的，可能预示着非法数据复制或传输活动。

规则类型: machine_learning

规则索引: 无

严重性: 低

风险评分: 21

每隔: 15 分钟

搜索索引自: now-2h (日期数学格式，另请参见 附加回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 4

规则作者:

规则许可证: Elastic License v2

设置

该规则需要安装数据泄露检测集成资源，以及由 Elastic Defend 和网络数据包捕获等集成收集的网络和文件事件（仅限网络事件）。

数据泄露检测设置

数据泄露检测集成通过识别网络和文件事件中的异常来检测数据泄露活动。使用 Elastic 的异常检测功能检测异常。

先决条件

应执行以下步骤以安装与数据泄露检测集成相关的资源

框架: MITRE ATT&CK^TM

策略
- 名称：数据泄露
- ID：TA0010
- 参考网址：https://attack.mitre.org/tactics/TA0010/
技术
- 名称：通过物理介质进行数据泄露
- ID：T1052
- 参考网址：https://attack.mitre.org/techniques/T1052/