用途：在获得法务授权与HR转介后，调查内部威胁指标，如数据外泄、未授权访问、政策违规及离职前行为。
主要能力：建立调查范围与授权记录；从SIEM构建活动时间线；检测批量下载、USB使用、邮件外发、云存储上传等外泄迹象；分析越权访问、非工作时间活动等异常；关联HR与物理门禁数据；按证据链要求保全证据并输出调查报告。
使用方式：先确认授权与范围，再查询SIEM、DLP、端点、邮件、代理和认证日志，按步骤执行搜索与关联分析，最后生成含发现、时间线和建议的报告。资料中提供了Splunk查询、Python证据记录等示例代码，实际使用需按环境调整。
适用场景：离职员工监控、不满员工越权访问、承包商越界、账号滥用、破坏迹象等。
限制：必须与HR、法务和隐私团队协调，未获授权不得监控；依赖DLP、EDR、SIEM等系统及HR数据源；证据需遵循保管链程序。具体平台与效果暂未提供。