データ持ち出し（Exfiltration） とは？

現代の攻撃では、ネットワーク経由でクラウドや攻撃者のサーバに自動送信することが多いんだよ。USBはむしろ内部犯行の話だね。

そこが厄介でね、HTTPSやDNSクエリなど「普通の通信」に見せかけてデータを隠すDNSトンネリングとか、暗号化通信に混ぜ込む手法が使われるんだよ。

DLP（Data Loss Prevention）というツールが、「大量のデータが外に出ていないか」を監視するんだよ。あとは異常な通信パターンをSIEMで検知する方法もあるね。

MITREのATT&CKフレームワークでは「Exfiltration」は攻撃チェーンの後半にあってね、侵入→権限昇格→横展開→データ収集→持ち出しという流れの最後の段階なんだよ。

そうだね、だから「持ち出される前に止める」ことが重要で、侵入検知と組み合わせた多層防御が基本になるよ。