基于行为基线与统计异常的内幕数据外泄检测实战Anthropic Cybersecurity Skills 之 DLP 技能深度解析【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills本文面向 SOC 分析师与安全运营工程师完整解析本仓库中detecting-insider-data-exfiltration-via-dlp技能位于 SKILL.md的检测方法论如何通过 pandas 对端点活动日志、云存储访问与邮件 DLP 事件做行为基线建模与统计异常检测识别超量上传、越权访问、离职前批量下载、非工作时段访问、USB 外传五类内幕外泄信号并将其映射到 NIST CSF 2.0 与 MITRE ATTCK 框架形成可直接落地复用的检测工作流。技能定位与适用场景该技能归属于security-operations安全运营子域标签覆盖insider-threat、data-loss-prevention、dlp、exfiltration-detection、ueba。在仓库的 817 个结构化安全技能体系中它属于典型的检测类 UEBA用户与实体行为分析技能核心价值在于把资深分析师判断内幕威胁的启发式规则编码为 Agent 可执行的统计流程。在以下四类场景中应当激活该技能调查需要借助 DLP 数据检测内幕数据外泄的安全事件为内幕威胁/外泄检测域编写检测规则或威胁狩猎查询SOC 分析师需要本类分析任务的标准结构化流程验证相关攻击技术在现有监控体系中的检测覆盖度。前置条件熟悉安全运营概念与常用工具拥有可供安全执行的测试或实验环境Python 3.8且已安装 pandas 等所需依赖所有测试活动已获得相应授权。该技能仓库内附带可直接运行的 Agent 脚本 scripts/agent.py以及配套的 references/api-reference.md 参考文档前者提供完整的命令行检测实现后者汇总阈值表、敏感文件正则与 Microsoft Purview DLP API 调用示例。数据模型从原始日志到行为特征技能的分析对象是端点活动日志 云存储访问 邮件 DLP 事件三类来源的合并日志。参考文档定义的输入字段为字段含义timestamp事件发生时间需解析为 datetimeuser操作用户标识action动作类型download / copy / export 等file_path访问的文件路径bytes_transferred传输字节数destination传输目标含 USB/外设标识Agent 脚本 scripts/agent.py 中的load_activity_logs()同时支持 CSV 与 JSON Lines 两种输入格式CSV 使用pd.read_csv(..., parse_dates[timestamp])解析时间列JSON Lines 则走pd.read_json(..., linesTrue)。此外脚本对列名做了兼容处理action缺失时回退到event_typefile_path缺失时回退到filenamedestination缺失时回退到target因此同一套分析逻辑可以平滑对接不同厂商的日志 schema。核心方法论行为基线与统计异常技能的检测哲学是先建基线再找偏离。脚本 scripts/agent.py 中的detect_volume_anomalies()完整实现了这一流程df[date] df[timestamp].dt.date daily_volume df.groupby([user, date])[bytes_transferred].sum().reset_index() user_baseline daily_volume.groupby(user)[bytes_transferred].agg( [mean, std]).reset_index() user_baseline.columns [user, avg_bytes, std_bytes] latest_date df[date].max() latest_day daily_volume[daily_volume[date] latest_date] merged latest_day.merge(user_baseline, onuser) threshold merged[avg_bytes] (multiplier * merged[std_bytes].fillna(0)) anomalies merged[merged[bytes_transferred] threshold]该实现相比 SKILL.md 中的简化示例做了两处工程化增强其一阈值不再固定为3x而是采用mean multiplier × std的统计阈值multiplier默认为3.0可避免单一乘数对波动大的用户过度告警其二对每个异常用户计算实际偏离倍数bytes / max(avg, 1)并按偏离倍数降序输出便于分析师优先处理偏离最严重的目标。严重级别判定脚本内置了分级的严重度逻辑severity: CRITICAL if row[bytes_transferred] row[avg_bytes] * 5 else HIGH即当日传输量超过基线 5 倍判为CRITICAL超过 3 倍判为HIGH与参考文档中的指标阈值表一致。五大关键检测指标技能将内幕数据外泄归纳为五类可量化信号Agent 脚本分别用独立函数实现上传量超过日均基线 3 倍—— 体积异常detect_volume_anomalies()访问超出正常范围的文件—— 敏感文件命中detect_sensitive_file_access()离职前批量下载—— 短时间窗口内高频下载detect_bulk_downloads()非工作时段文件访问模式——detect_off_hours_activity()USB/外部设备使用激增——detect_usb_activity()。非工作时段活动检测SKILL.md 中的核心示例df[hour] df[timestamp].dt.hour off_hours df[(df[hour] 6) | (df[hour] 22)] suspicious off_hours.groupby(user).size().sort_values(ascendingFalse)脚本 scripts/agent.py 将该逻辑完整工程化detect_off_hours_activity()支持start_hour/end_hour参数默认 6–22 点为工作时段并额外统计每个用户在非工作时段的事件数、传输字节数、访问的唯一文件数仅当事件数超过 10 条时才生成 HIGH 告警避免对偶发夜间访问过度敏感。离职前批量下载检测detect_bulk_downloads()scripts/agent.py聚焦download、copy、export三类动作按用户对时间序列做resample(1h)重采样统计当某小时下载文件数 ≥ 50 时判定为批量下载爆发CRITICAL并输出单小时峰值与爆发时段数。USB/外部设备外传检测detect_usb_activity()scripts/agent.py通过匹配destination/target字段中的removable、usb、external等标识识别外设写入事件任何量级的 USB 传输均标记为 HIGH这与参考文档阈值表USB transfersAny volume → HIGH的规则完全对应。阈值与严重级别速查表参考文档 references/api-reference.md 给出了统一阈值基准指标阈值严重级别传输量 基线 3 倍按用户日均HIGH传输量 基线 5 倍按用户日均CRITICAL非工作时段事件每用户 10 条HIGH批量下载 50 文件/小时CRITICALUSB 传输任意量级HIGH敏感文件访问模式命中HIGH敏感文件访问检测技能内置了一套覆盖高价值数据类型的敏感文件正则scripts/agent.pysensitive_patterns [ r\.pem$, r\.key$, r\.env$, rcredentials, rpassword, r\.kdbx$, r\.pfx$, rsecret, rfinancial, rpayroll, rcustomer.*data, ]detect_sensitive_file_access()对每条访问记录做忽略大小写的正则匹配.pem/.key/.pfx覆盖私钥材料.env/credentials/password/secret覆盖凭据与配置.kdbx$覆盖密码管理器数据库financial/payroll/customer.*data覆盖财务与客户数据。命中即输出 HIGH 告警并记录命中的具体模式结果默认截断至前 500 条以避免报告爆炸。与 Microsoft Purview DLP 的 API 联动参考文档提供了基于 Graph API 拉取 DLP 告警的调用模板import requests headers {Authorization: Bearer token} resp requests.get( https://graph.microsoft.com/v1.0/security/alerts_v2, headersheaders, params{$filter: category eq DataLossPrevention} )该调用可用于将 Microsoft Purview 的 DLP 违规事件纳入前述 pandas 分析管线使行为基线覆盖端点 云存储 邮件三类信号与 SKILL.md 中分析端点活动日志、云存储访问和邮件 DLP 事件的指令形成闭环。完整检测流水线一键式 Agent 脚本将上述五个检测器串成完整流水线的是main()scripts/agent.py它通过命令行参数控制分析粒度参数说明--log-file必填活动日志文件CSV 或 JSON Lines--actionvolume/off_hours/bulk/sensitive/full_analysis默认全量--output报告输出路径默认dlp_exfiltration_report.json典型运行方式python scripts/agent.py --log-file file_activity.csv --action full_analysis脚本会输出 JSON 结构化报告包含generated_at、total_events与findings按 volume_anomalies、off_hours_activity、bulk_downloads、sensitive_access 分组的发现列表可直接作为 SIEM 告警工单或 UEBA 评分模型的输入。框架映射让检测工作流可审计、可汇报该技能的 YAML frontmatterSKILL.md声明了双重框架映射这也是本仓库一个技能、多个框架勾选框设计理念的体现NIST CSF 2.0DE.CM-01连续监控、DE.AE-02异常与潜在不良事件分析、RS.MA-01响应管理、GV.OV-01监督审查。行为基线与统计异常检测对应 Detect 函数告警分级与报告输出对应 Respond 函数。MITRE ATTCKT1078有效账户、T1190利用面向公众的应用、T1059命令与脚本解释器、T1048通过替代协议外泄、T1041通过 C2 通道外泄。其中 T1048/T1041 属 Exfiltration 战术TA0010从仓库的 ATTCK 覆盖汇总 可见 Exfiltration 战术由 threat-hunting、digital-forensics、network-security 等子域共同支撑T1078有效账户在 ATTCK Navigator 图层 中也是全库被引用最多的技术之一。小结本技能的价值在于把内幕数据外泄这一难以界定的威胁拆解为可计算的行为基线、可量化的偏离阈值、可审计的严重级别。配合仓库中的 scripts/agent.py 与 references/api-reference.md分析师无需从零搭建即可获得一个覆盖五类外泄信号的 UEBA 检测器并可直接对接 Purview DLP 事件源、输出结构化告警、映射到 NIST CSF 与 MITRE ATTCK 框架为后续的狩猎、上报与覆盖度验证提供完整支撑。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考