› › ›

通过隔空投送发送到外部设备的字节数激增

一个机器学习作业检测到通过隔空投送写入外部设备的高字节数据。在典型的操作环境中，写入外部设备的数据通常有一个可预测的模式或一定的范围。写入异常大量的数据是异常的，可能表示非法数据复制或传输活动。

规则类型: machine_learning

规则索引: 无

严重程度: 低

风险评分: 21

运行频率: 15 分钟

搜索索引时间范围: now-2h (日期数学格式，另请参阅额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 4

规则作者:

规则许可: Elastic License v2

设置

该规则需要安装数据渗漏检测集成资产，以及由 Elastic Defend 和网络数据包捕获（仅限网络事件）等集成收集的网络和文件事件。

数据渗漏检测设置

数据渗漏检测集成通过识别网络和文件事件中的异常来检测数据渗漏活动。使用 Elastic 的异常检测功能检测异常。

先决条件

应执行以下步骤来安装与数据渗漏检测集成关联的资产

框架: MITRE ATT&CK^TM

战术
- 名称：外泄
- ID：TA0010
- 参考 URL: https://attack.mitre.org/tactics/TA0010/
技术
- 名称：通过其他网络媒介外泄
- ID：T1011
- 参考 URL：https://attack.mitre.org/techniques/T1011/