场景：某股份制银行发生内部数据泄露事件，一名运维工程师利用职务之便，在未经授权的情况下访问并导出了核心客户数据。事件由数据库审计日志异常触发，安全团队在48小时内完成溯源与处置。
攻击 / 事件时间线
初始访问
攻击者（内部员工）利用其合法的VPN账号，在凌晨2:17分从办公网络远程登录至运维跳板机。登录行为符合正常工作时间以外的异常模式。在跳板机上，攻击者使用本机已保存的SSH私钥，直接连接到核心生产数据库服务器，绕过了堡垒机的二次认证。
VPNSSHJump Server
权限维持与数据访问
攻击者并未进行传统的提权操作，因为其运维身份本就拥有高权限。他使用本地的SQL客户端工具，通过数据库管理员账号（DBA）连接至核心库。在30分钟内，执行了多条SELECT语句，针对客户信息表、交易流水表进行批量查询，并将结果集导出为CSV文件，暂存在数据库服务器的临时目录下。
SQL ClientDBA AccountCSV Export
数据窃取
攻击者将打包好的数据文件（约2.3GB）通过SCP命令传输至另一台非核心区域的FTP服务器上。随后，利用该FTP服务器与外部文件共享服务（如网盘）的自动同步功能，将数据外传至个人网盘。整个过程使用了加密传输，有效规避了传统DLP（数据泄露防护）系统对明文内容的检测。
SCPFTP ServerCloud Drive Sync
告警触发与初步研判
次日早上8:30，数据库审计系统（如Imperva或自研）发出告警，提示凌晨时段存在大量异常数据查询行为，且源IP为运维跳板机。同时，SIEM平台关联到FTP服务器的异常外发流量。SOC值班人员立即启动应急响应流程，初步判研为可能的数据泄露事件，并上报。
Database Audit SystemSIEM Platform
蓝队视角 · 发现与处置
SOC团队在收到告警后，立即隔离了相关跳板机和FTP服务器的网络权限，防止数据进一步外泄。同时，取证团队通过解析数据库审计日志和跳板机操作日志，还原了攻击者的完整操作命令序列，并定位到具体员工账号。在获取管理层授权后，安全团队约谈了该员工，其承认了违规行为。最终，通过分析云盘同步记录，确认了数据外传路径，并尝试协同外部服务商进行数据删除或封禁。
涉及关键技术 / 工具
数据库审计日志分析用户实体行为分析（UEBA）数据外传通道追踪（云同步）
防护经验总结
- 对运维人员实施更严格的堡垒机管理，强制使用动态令牌（OTP）进行二次认证，禁止直接使用SSH私钥跳过审计。
- 在核心数据库配置行级或表级的数据脱敏策略，即使管理员账号访问敏感字段也需单独申请临时权限。
- 将内部FTP、网盘等文件交换系统纳入DLP监控范围，对异常的大文件外传或同步行为进行实时阻断和告警。
#内部威胁#数据泄露#数据库审计#UEBA