| 用途 | 在泄露前阶段捕捉迹象 |
|---|---|
| 痕迹 | 压缩进程/临时文件/批量访问 |
观察线索
观察线索
压缩/打包工具的非交互执行
临时目录出现大体积归档
数据库/文件服务的批量导出
# 结合进程谱系与文件时间打包未必外传成功：外传失败同样是重要事实。
外传前常有收集与打包动作：压缩工具进程、临时目录大文件、批量读取记录——这些痕迹比外传本身更早出现。
| 用途 | 在泄露前阶段捕捉迹象 |
|---|---|
| 痕迹 | 压缩进程/临时文件/批量访问 |
压缩/打包工具的非交互执行
临时目录出现大体积归档
数据库/文件服务的批量导出
# 结合进程谱系与文件时间