场景：某股份制商业银行安全运营中心在2026年7月某日，通过UEBA系统告警发现一名内部员工在非工作时间异常访问核心客户数据库，随即启动应急响应与数据泄露溯源。
攻击 / 事件时间线
告警触发与初步研判
15:30，SOC平台收到UEBA系统推送的高危告警：员工张某某（权限：数据库运维DBA）在22:00-23:30期间，通过堡垒机连续执行了超过200次 SELECT * FROM 查询，且目标表为《个人客户信息表》（含姓名、身份证、手机号、银行卡号）。流量分析设备（NTA）捕获到该会话使用了非标准的 Navicat Premium 客户端（而非企业规定的PL/SQL Developer）。SOC值班人员立即将告警等级从“可疑”提升为“恶意”，并冻结该员工VPN及堡垒机权限。
UEBA系统NTA流量分析堡垒机审计日志
现场处置与证据固定
16:00，安全应急小组兵分两路：一路直奔张某某工位，在其未反应前控制其办公电脑（未关机，防止加密磁盘）；另一路通过EDR后台提取该电脑近7天的进程历史、USB插入记录及浏览器下载列表。EDR分析发现：张某某在15:00曾使用 7-Zip 将加密压缩包 data.7z 上传至个人百度网盘，压缩包密码通过微信发送给了外部人员。同时，内存取证工具 Volatility 扫描其主机内存，未发现恶意进程，排除其电脑被远控的可能，确认系内部人员主动泄密。
EDR (CrowdStrike)Volatility7-Zip
数据泄露范围与路径回溯
17:30，安全团队联合审计部、法务部，通过分析数据库审计日志和堡垒机录屏回放，还原了完整路径：张某某于9:30利用DBA权限在测试库中创建了一张同名表 cust_info_bak，随后通过 expdp 命令将生产库全量客户数据（约35万条）导出为dump文件，再通过 scp（利用运维跳板机）传输至个人电脑。整个操作被其刻意安排在午休和下班时段，并清除了部分shell历史记录，但数据库审计日志和堡垒机录屏成为铁证。
Oracle Audit Vaultexpdpscp跳板机录屏
蓝队视角 · 发现与处置
SOC通过UEBA与NTA的关联分析，在30分钟内完成告警研判与权限冻结。EDR取证锁定主动泄密行为，数据库审计日志与堡垒机录屏复原了完整攻击链。最终在2小时内完成证据固定，并移交公安机关。事件处置过程中，SOC同步启动了全行数据防泄露（DLP）策略的紧急加固，对敏感数据查询行为增加了动态水印和人脸二次认证。
涉及关键技术 / 工具
UEBA异常行为建模（非工作时间+高频查询+非标客户端）EDR内存取证与网络流量关联分析数据库审计日志与堡垒机录屏的交叉验证
防护经验总结
- 在堡垒机上实施细粒度命令白名单，禁止DBA在生产环境执行 `expdp`、`scp` 等数据导出命令，仅允许通过审批后的自动化工具操作。
- 对敏感数据库表的查询行为实施实时动态脱敏，并强制启用人脸识别或硬件Token二次认证，杜绝单因子凭证泄露导致的批量拖库。
- 部署DLP系统对上传至云盘、外发邮件等行为进行内容识别与阻断，尤其针对压缩包（如7z、rar）强制扫描文件头与文件名匹配规则。
#内部威胁#数据泄露#SOC应急响应#UEBA#数据库安全