场景：2026年8月，某全国性股份制银行。数据安全平台监测到核心客户信息库在非业务时段被批量查询，触发点来自一名已提离职的运维工程师账号，调查随即展开。
攻击 / 事件时间线
异常查询浮现
数据安全平台（DSPM）在凌晨02:17捕获异常SQL：离职申请已审批通过的运维工程师账号，在非维护窗口对cust_info核心表执行SELECT *全量导出。查询来自其办公网段跳板机，绕过了常规堡垒机审批。行为基线引擎判定该账号偏离历史模式——该员工近30天无相关操作记录，本次查询量达历史峰值的180倍。
DSPMUEBA行为基线堡垒机审计日志
权限滥用与数据外带
进一步日志关联发现，该员工利用未回收的DBA临时授权，通过mysqldump将客户表导出为压缩包，再利用其个人搭建的反向代理隧道绕过DLP，将文件分片传输至境外云存储。传输过程使用TLS加密，单次仅传5MB以规避流量阈值告警。数据总量约320万条，含姓名、身份证号、手机号及账户余额。
mysqldumpfrp反向代理DLP流量审计
溯源与证据固定
SOC启动应急响应，隔离跳板机并冻结账号。通过分析代理服务器日志与云存储访问记录，关联出该员工使用的个人设备MAC地址。同时调取其邮箱，发现其与境外买家的沟通记录，涉及数据定价与交付方式。取证团队对涉事主机做内存镜像与磁盘克隆，固定bash_history、~/.ssh密钥及浏览器缓存等关键证据。
VolatilityFTK ImagerSysmon日志
内部串并案与止损
回溯发现该员工曾试图拉拢另一名在职同事协助查询高净值客户名单，聊天记录被企业微信审计留存。银行立即回收所有离职状态账号权限，并对近90天内所有离职人员操作日志做批量审计，发现另外2个账号存在类似异常查询但未外传。同步通知受影响客户并上报监管。
企业微信审计SIEM关联分析权限回收脚本
蓝队视角 · 发现与处置
SOC在DSPM告警后15分钟内完成初步研判：确认非业务行为，立即冻结账号并隔离跳板机。通过UEBA与堡垒机日志交叉验证，锁定数据外带路径。DLP虽被隧道绕过，但流量元数据成为溯源关键。应急团队在2小时内完成证据固定，并联合HR、法务启动内部调查。最终确认数据已部分外泄，但因响应及时，未造成全量泄露，客户损失可控。
涉及关键技术 / 工具
DSPM数据库行为审计UEBA异常行为基线反向代理隧道绕过DLP检测
防护经验总结
- 离职人员权限应在审批通过后24小时内全部回收，包括DBA临时授权与VPN账号，并设置账号冻结的自动化工单联动。
- 对核心数据库的全量导出操作实施强制审批与二次认证，非维护窗口的批量查询直接阻断并告警。
- 部署DLP时需覆盖加密隧道与分片传输场景，结合流量元数据分析（如目的IP信誉、传输时间规律）弥补内容检测盲区。
#内部威胁#数据泄露#UEBA#DLP绕过#银行安全