sentinel, Lab
场景 2 — 阶段一：泄露发现与紧急响应
泄露线索来源
| 来源 | 说明 |
|---|---|
| DLP 系统告警 | 邮件 / 终端 / 网络 DLP 命中敏感数据规则 |
| 外部情报发现 | 暗网论坛 / 数据交易平台发现企业数据 |
| 内部举报 | 员工 / 合作伙伴举报可疑行为 |
| 异常行为分析 | UEBA 检测到异常数据访问模式 |
快速分诊 — 三维度评估
| 维度 | 评估内容 |
|---|---|
| 数据敏感度 | 核心机密 / 个人信息 / 商业秘密 |
| 泄露规模 | 文件数量 / 数据量 |
| 扩散程度 | 是否已公开 / 传播 |
紧急程度分级
| 等级 | 场景 | 响应时限 |
|---|---|---|
| P0 紧急 | 核心机密已公开 / 交易中 | 立即响应 |
| P1 高 | 大量敏感数据外发确认 | 2h 内响应 |
| P2 中 | 可疑行为待确认 | 24h 内响应 |
| P3 低 | 疑似误报 / 少量数据 | 排期调查 |
紧急响应措施
- 启动应急预案：激活 CSIRT 小组，通知法务、合规、管理层
- 嫌疑人账号控制：暂停相关账号权限（不通知本人），保留账号日志
- 日志保全：锁定相关日志时间窗口，导出邮件 / 网络 / 终端 / 门禁日志
- 法律团队介入：评估是否需报警 / 监管报告，启动证据保全法律流程
- 保密纪律：事件信息严格限知，避免打草惊蛇或二次泄露
初始评估清单
- 泄露了什么数据？（类型、格式、数量、敏感级别）
- 何时开始泄露？（最早可疑时间点 → 确定日志回溯窗口）
- 谁可能泄露？（嫌疑人范围：数据访问权限 + 行为异常）
- 如何外发的？（外发渠道、频率、加密 / 打包方式）
- 数据流向何处？（竞对 / 暗网 / 公开平台 / 境外）
初评完成 → 进入阶段二：数据流转溯源