用途：在获得法务授权与HR转介后，调查内部威胁指标，如批量数据下载、向个人存储传输、偏离同岗位基线的异常访问、离职通知期行为等。
主要能力：从SIEM构建主体活动时间线；检测SharePoint/OneDrive批量下载、USB/可移动介质使用、邮件外发附件、云存储上传等外泄指标；分析越权访问、非工作时间与周末活动；关联HR离职时间线与门禁物理访问数据；按证据链要求保全证据并生成调查报告。
使用方式：先确认授权范围与隐私审查，再以Splunk等查询语言检索DLP、终端、邮件、代理、认证等日志，按事件类别统计并可视化；对下载量、外发邮件、上传流量等设阈值筛选；用角色权限映射识别越权；用哈希与JSON记录证据链。
适用场景：离职员工监控、不满员工越权访问、承包商越界、账号共享、离职前破坏迹象等。
限制：必须在HR、法务与隐私团队协调下进行，未获授权不得监控；依赖DLP、EDR、SIEM等日志源与HR数据源；证据需符合保管链要求。具体工具版本、许可与部署细节暂未提供。