› › ›

发送到外部设备的字节数激增

机器学习作业检测到写入外部设备的数据字节数很高。在典型的操作环境中，通常会存在一个可预测的模式或一定范围的写入外部设备的数据量。异常大量的数据写入是异常的，可能表示非法数据复制或传输活动。

规则类型: machine_learning

规则索引: 无

严重性: 低

风险评分: 21

运行频率: 15 分钟

搜索索引起始时间: now-2h (日期数学格式, 另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

版本: 4

规则作者:

规则许可证: Elastic License v2

设置

此规则需要安装数据泄露检测集成资产，以及由 Elastic Defend 和网络数据包捕获等集成收集的网络和文件事件（仅用于网络事件）。

数据泄露检测设置

数据泄露检测集成通过识别网络和文件事件中的异常来检测数据泄露活动。使用 Elastic 的异常检测功能检测异常。

先决条件

应执行以下步骤以安装与数据泄露检测集成关联的资产

框架: MITRE ATT&CK^TM

战术
- 名称: 外泄
- ID: TA0010
- 参考 URL: https://attack.mitre.org/tactics/TA0010/
技术
- 名称: 通过物理介质外泄
- ID: T1052
- 参考 URL: https://attack.mitre.org/techniques/T1052/