场景：某大型互联网企业，2026年7月某日凌晨，SOC平台突然弹出高优先级DLP告警：内部CRM系统API出现异常高频访问，疑似数据外泄。
攻击 / 事件时间线
初始访问
凌晨1:47，SOC值班员收到DLP告警，显示内部CRM系统的API接口在30秒内被调用超过200次，且返回数据量异常巨大。值班员立即登录SIEM平台查看关联日志，发现调用来源IP为内网某台研发部门的跳板机（Jump Server），但该跳板机在非工作时间不应有活跃会话。
SIEM平台DLP系统
横向移动与权限维持
进一步溯源发现，攻击者并非直接攻破跳板机，而是利用某研发人员个人电脑上泄露的VPN凭据进入内网。进入后，攻击者通过Cobalt Strike Beacon加载了Mimikatz，抓取了跳板机上存储的明文密码，并利用其中的服务账号密码尝试登录了多台数据库服务器。同时，攻击者在跳板机上创建了计划任务，以实现权限维持，避免会话中断。
Cobalt StrikeMimikatz计划任务
数据窃取
攻击者利用抓取的服务账号密码，成功登录到CRM生产数据库的只读副本服务器。随后，他编写了一个简单的PowerShell脚本，通过调用合法的SQL Server导出功能，将用户信息表（含手机号、邮箱）导出为CSV文件，并压缩打包。为了规避流量监控，攻击者没有直接下载到外部，而是将文件上传到内网的一台文件共享服务器上，伪装成正常的备份文件。
PowerShellSQL Server压缩工具
告警触发与溯源
攻击者从文件共享服务器向外部个人网盘发起上传请求，这一行为触发了防火墙的“外发文件”审计策略。同时，DLP系统也识别出该文件包含大量敏感字段，命中“CRM用户数据”规则，从而产生了最初的高危告警。SOC团队结合EDR终端日志、防火墙流量日志和DLP告警，完整还原了攻击路径。
EDR防火墙日志DLP系统
蓝队视角 · 发现与处置
SOC团队在接到DLP告警后，立即启动应急响应流程。首先，通过EDR对跳板机执行隔离操作，阻断其所有网络通信。同时，在防火墙上封禁了C2服务器的IP地址。随后，利用SIEM平台回溯了攻击者从VPN登录到数据上传的完整时间线，确认了受影响的数据范围。最后，通过修改服务账号密码、吊销泄露的VPN凭据、下线文件共享服务器上的恶意文件，彻底清除了威胁。整个处置过程耗时约45分钟，成功阻止了数据进一步外泄。
涉及关键技术 / 工具
Mimikatz 凭据抓取Cobalt Strike Beacon 远控DLP 数据外发策略检测
防护经验总结
- 对VPN账号启用多因素认证（MFA），并定期审计非工作时间段的登录行为。
- 实施最小权限原则，严格限制服务账号的访问范围，并设置强密码策略和定期轮换机制。
- 在内网部署DLP系统，对敏感数据的访问、导出和上传行为进行实时监控和告警，特别是对文件外发行为设置严格的审计策略。
#SOC#数据外泄#DLP#Cobalt Strike#Mimikatz