威胁建模：数据外发攻击路径归纳总结
做安全久了，你会发现一个有意思的现象——很多数据泄露事件，事后复盘时都觉得「这也能被攻破？」，但站在攻击者视角，人家的每一步其实都有迹可循。我个人的经验是，如果连攻击者可能怎么走都不清楚，留痕机制做得再漂亮，也只是个摆设。
咱们这一章不讲理论大框架，就聚焦一个实际问题：数据从内部往外发，攻击者会从哪里下手？ 我把这些年走过的坑、见过的案例，以及威胁建模里常用的攻击路径归纳方法，一起揉进这一章。你想想看，搞清楚了这些，后面你做边界设计、做日志采集，才知道该往哪个方向使劲。
为什么要做威胁建模？
说白了，威胁建模就是帮我们回答三个核心问题：
- 谁想偷数据？ — 内部人员、外部黑客、合作第三方？
- 通过什么方式？ — 网络、物理介质、业务接口？
- 在哪个环节能被发现？ — 传输前、传输中、传输后？
我记得在某家金融公司做评估时，对方说自己有完善的DLP系统，结果我随手查了下他们对接的第三方API日志，发现明文传输了客户手机号长达半年。原因很简单——威胁建模时根本没把API接口当作外发通道来考虑。所以，别等到出事了才手忙脚乱，先画一张攻击路径图，把风险点一个个标出来，比什么都管用。
核心原则： 每一类数据外发通道，都应有一条对应的「攻击路径-检测节点-留痕点」映射链。缺少任何一点，这条通道就是盲区。
数据外发的典型攻击路径
根据我自己的项目经验，数据外发的攻击路径可以分为四大类。下面这张表我建议你直接保存，做架构设计时拿出来对照：
| 攻击路径分类 | 常见手段 | 典型场景 | 检测难度 |
|---|---|---|---|
| 网络途径 | API未授权调用、内部服务反向代理、DNS隧道、邮件附件外发 | 开发环境泄露；员工用私人邮箱转发公司数据 | 中～高（需流量解析） |
| 物理途径 | USB拷贝、打印后拍照、硬盘拆走、无线蓝牙传输 | 研发人员通过U盘带走核心代码 | 低～中（需终端管控） |
| 应用层途径 | 文件共享（网盘、FTP）、即时通讯、第三方SaaS同步 | 使用个人网盘同步公司文档 | 高（协议加密封装） |
| 隐蔽途径 | 隐写术、时间戳编码、水印叠加、内存Dump后外传 | 通过正常图片夹带数据 | 极高（需要深度内容分析） |
这里我特别想提一下「物理途径」。有一次做红蓝对抗，蓝队把网络层防得死死的，结果红队直接走到工位旁边，趁没人注意把一台测试机的硬盘拆下来带走了。嗯，物理安全往往被最容易被忽略，但后果最直接。
攻击路径归纳：从起点到落点
有了上面的分类，我们可以归纳出一张通用的攻击路径框架图。这张图是我在多个项目里反复打磨出来的，能覆盖大多数数据外发场景：
这张图把攻击路径归纳为五层：数据资产 → 攻击入口 → 攻击手段 → 检测留痕 → 结果输出。我建议你在做安全架构的时候，也按这个维度去拆解。每一层里，哪些是真实存在的通道？哪些是理论上可能但实际受损面小的？优先级就出来了。
关键风险点与防护建议
根据上面的路径归纳，有几个风险点我想重点敲一下黑板：
💡 避坑指南：我曾经... 给一家SaaS公司做审计，发现它们的数据外发留痕只做了邮件和网盘，结果漏掉了API网关日志。攻击者通过一个过期的API ，把整个数据库导出跑了。嗯，从那以后我每个项目都强制要求：每个入口至少对应一个留痕点，少一个都不行。
- 入口不完整：别只盯着网络出口，物理端口、蓝牙、打印机都是盲区。我建议做一次全端口扫描 + 业务流程图交叉验证。
- 手段不识别：很多DLP产品只防明文的文件外发，对隐写、分段传输、加密隧道根本无能为力。需要补充行为分析和异常流量模型。
- 留痕不及时：日志要是延迟半小时才入库，攻击者早就跑路了。关键路径必须做到秒级实时上报。
⚠️ 特别注意： 威胁建模不是一次性工作。业务迭代了、接口变了、人员流动了，攻击路径也会跟着变。我建议每季度做一次路径重审，至少把新增的第三方对接、新部署的应用全部拉进来重新走一遍。
小结
这一章我们主要干了三件事：分类攻击路径、归纳通用框架、识别关键风险点。你心里应该有数了：数据外发不是单一行为，而是一个多入口、多手段、多出口的复杂网络。只有把这些路径都画出来，你后续做外发留痕机制才有落脚点——知道在哪儿放探头，比探头本身更重要。