场景 3 — 阶段二：数据流转溯源与证据固定
多维度日志分析
| 日志源 |
分析内容 |
| 邮件网关日志 |
外发邮件记录：收件人、附件名、大小，个人邮箱发送大量附件的异常行为 |
| 终端 DLP 日志 |
文件操作记录：复制 / 下载 / 打印 / 截屏，USB 设备接入记录和文件拷贝行为 |
| 网络流量日志 |
网盘上传流量、IM 文件传输记录，HTTPS 连接的目标域名和数据量 |
| 文件服务器日志 |
文件访问 / 下载 / 打印审计记录，敏感目录的非授权访问 |
| 门禁 / 考勤日志 |
非工作时间办公区出入记录，与数据访问时间交叉关联 |
数据流转路径还原示例
| 时间 |
动作 |
详情 |
| 2025-07-15 14:22 |
访问客户数据库 |
SELECT * FROM customers |
| 2025-07-15 14:35 |
数据导出 |
52,000 条客户记录为 CSV (12MB) |
| 2025-07-15 18:47 |
压缩打包 |
WinRAR 加密压缩 (8MB, AES) |
| 2025-07-15 19:12 |
外发 — 个人邮箱 |
发送至 zhangsan@gmail.com |
| 2025-07-18 02:30 |
暗网出现 |
数据出现在暗网交易平台，标价 5 BTC |
证据固定与保全
| 类别 |
内容 |
| 电子证据 |
邮件日志导出 + 哈希签名、DLP 告警记录截图 + 时间戳、数据库审计日志、网络流量抓包 (PCAP) |
| 终端取证 |
嫌疑人工作站磁盘镜像、内存转储（若未关机）、USB 设备使用记录、浏览器历史 / 下载记录 |
| 证据链完整性 |
SHA-256 哈希校验所有证据文件、取证过程全程录像 / 日志记录、证据保管链 (Chain of Custody)、时间戳可信认证 |
嫌疑人行为画像
| 项目 |
详情 |
| 姓名 |
张三 (zhangsan) |
| 部门 |
客户服务部 · 高级客户经理 |
| 在职 |
2019-至今 |
| 离职意向 |
已提交辞职申请（7月20日生效） |
异常行为特征： 离职前大量下载 · 非工作时间访问 · 个人邮箱外发 · 加密压缩 · 访问非职责范围数据
溯源完成 → 进入阶段三：影响评估与处置
sentinel, Lab