数据收集与打包痕迹是什么
数据外传之前通常先有收集与打包：批量查询导出、遍历目录读取、调用压缩工具生成归档并落在临时目录。这些动作发生的时点比外传更早，且在主机侧留下的证据更完整，是提前止损的窗口期。
基本信息
| 用途 | 在外传发生前捕捉泄露迹象 |
|---|---|
| 典型痕迹 | 压缩进程非交互执行、临时目录大文件、批量读取 |
| 证据来源 | 进程谱系、文件时间线、数据库审计、访问日志 |
| 时间关系 | 收集 → 打包 → 外传，前两步痕迹更早也更易留存 |
典型使用场景
- 发现主机异常外联后，回查此前是否已有打包动作
- 数据库审计出现全表导出，判断数据是否被归集
- 文件服务器排查：某账号短时间遍历大量目录
- 评估泄露量级：用归档体积对照同期的外传字节数
- 止损决策：确认仍处于收集阶段，可优先切断通道而不是整机下线
Linux 侧检查
Linux 侧检查
find /tmp /var/tmp -type f -size +50M -mtime -7 -ls # 临时目录大文件
find / -xdev -newermt '2026-10-01' \( -name '*.zip' -o -name '*.tar.gz' \) 2>/dev/null # 近期归档
ps -eo pid,ppid,lstart,cmd | grep -Ei 'zip|tar|7z|rar' # 压缩进程、父进程与启动时间
auditctl -w /tmp -p w 2>/dev/null; ausearch -k tmp_write # 如已配置审计
# 关键看压缩对象的目录范围与生成时间是否落在事件窗口内Windows 侧检查
Windows 侧检查
Get-ChildItem C:\Windows\Temp,C:\Users -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue |
Where-Object {$_.LastWriteTime -gt (Get-Date).AddDays(-7)} # 近期临时归档
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1} |
Where-Object {$_.Message -match 'rar|7z|Compress-Archive'} # 压缩进程命令行
# 关注父进程：explorer.exe 多为人工操作，w3wp.exe/sqlservr.exe 派生则高度可疑可疑打包与正常备份对照
| 特征 | 可疑 | 正常 |
|---|---|---|
| 触发方式 | 非交互、由 Web/数据库进程派生 | 由备份软件或计划任务触发 |
| 输出位置 | 系统临时目录、用户下载目录 | 备份目录、对象存储 |
| 覆盖范围 | 整目录遍历、全库导出 | 按策略配置的固定数据集 |
| 时间规律 | 非工作时段、与排班不符 | 与既定备份窗口一致 |
打包不等于外传成功。外传失败也要如实写明，不能因为没观察到外传就把打包线索从报告里删掉，它是判断数据可能已流出的前提事实。
压缩本身是常见运维动作，判定可疑要靠父进程、输出路径、覆盖范围三项组合，只看文件名会大量误报。