该技能用于狩猎数据外泄（Data Exfiltration）迹象，适用场景包括：在受攻陷环境中排查数据窃取、发现异常出站数据量或模式后跟进、调查内部人员数据窃取、事件响应中判断被窃数据范围，以及威胁情报提示本行业遭受数据外泄行动时。
前置条件包括：具备字节级数据传输指标的代理/防火墙日志、带云上传可见性的 DLP 或 CASB、用于检测 DNS 外泄的 DNS 查询日志、用于附件监控的邮件网关日志，以及具备数据量异常检测能力的 SIEM。
工作流分七步：定义可能的外泄通道（HTTP/S 上传、DNS 隧道、邮件附件、云存储、可移动介质、加密协议）；以 30 天窗口为各用户、主机和目的地建立出站数据量基线；检测向外部目标传输量显著高于基线的异常；分析目的域名/IP，比对威胁情报，识别新注册域名、个人云存储和境外基础设施；检查协议滥用，如大量或高频 TXT 查询的 DNS 隧道、ICMP 隧道或在允许协议中隐藏数据；将外泄指标与敏感文件共享、数据库或代码库的文件访问事件关联；最后记录证据、评估数据暴露面并提出遏制建议。
涉及的关键技术概念（ATT&CK）包括：T1041 通过 C2 通道外泄、T1048 通过替代协议外泄（含 .001 对称加密非 C2、.002 非对称加密非 C2、.003 未加密/混淆非 C2）、T1567 通过 Web 服务外泄（含 .002 外泄到云存储）、T1052 通过物理介质外泄、T1029 计划传输、T1030 数据传输大小限制（暂存）、T1537 传输数据到云账户、T1020 自动化外泄。
常用工具与用途：Splunk 用于数据量分析与 SPL 查询；Zeek 提供数据流分析的网络元数据；Microsoft Defender for Cloud Apps 作为 CASB 检测云外泄；Netskope 提供云 DLP 与外泄检测；Suricata 作为网络 IDS 检测协议异常；RITA 用于 DNS 外泄与信标检测；ExtraHop 用于流量分析。
常见场景有：用户通过浏览器将敏感文档上传至个人 Google Drive 或 Dropbox；恶意软件将数据编码进 DNS 子域查询发往攻击者控制的域名服务器；受攻陷系统经 HTTPS 向 C2 服务器 POST 大块数据；内部人员将敏感文档转发至个人邮箱；攻击者先将数据压缩暂存再缓慢外泄以规避检测。
输出格式为狩猎记录，字段包括 Hunt ID（TH-EXFIL-[DATE]-[SEQ]）、外泄通道、来源（主机/用户）、目的地（域名/IP/服务）、数据量、时间段、协议、涉及文件、风险等级与置信度。