用途：检测内部人员数据外泄。适用于需要分析 DLP 违规、文件访问模式、上传量异常及非工作时段活动的安全事件调查，也用于构建检测规则、威胁狩猎查询，以及验证相关攻击技术的监控覆盖。
主要能力：结合行为基线与统计异常检测，分析终端活动日志、云存储访问和邮件 DLP 事件。关键指标包括上传量超过每日基线 3 倍、访问正常范围之外的文件、离职前批量下载、非工作时段文件访问、USB 或外部设备使用激增。
使用方式：需具备安全运营概念与工具基础，准备测试或实验环境，Python 3.8+ 及所需依赖，并取得测试授权。示例以 pandas 读取 file_activity.csv，按用户与日期汇总 bytes_transferred 建立基线，再对当日超过用户均值 3 倍者告警；也可按小时筛选 6 点前或 22 点后的活动并按用户计数排序。
限制：资料未提供具体 DLP 产品、数据源字段、部署平台、收费或效果信息；实际使用需自行准备合规数据与授权环境。