Insider Threat

analyzing-usb-device-connection-history 可協助在 Windows 上利用登錄機碼、事件記錄與 setupapi.dev.log 來調查 USB 裝置連線歷史，適用於數位鑑識、內部威脅調查與事件回應。它支援時間軸重建、裝置關聯分析，以及可移除媒體證據分析。

detecting-insider-threat-with-ueba 可協助你在 Elasticsearch 或 OpenSearch 中建立 UEBA 偵測，涵蓋內部威脅情境所需的行為基線、異常分數、同儕群組分析，以及針對資料外洩、權限濫用與未授權存取的關聯式警示。適合用於 Incident Response 工作流程中的 detecting-insider-threat-with-ueba。

detecting-insider-threat-behaviors 可協助分析師追查內部威脅風險訊號，例如異常資料存取、非上班時段活動、大量下載、權限濫用，以及與離職相關的資料竊取。這份 detecting-insider-threat-behaviors 指南適合用於威脅狩獵、UEBA 風格的分流判讀與威脅建模，內含工作流程範本、SIEM 查詢範例與風險權重。