Insider Threat

analyzing-usb-device-connection-history 可帮助在 Windows 上结合注册表 hive、事件日志和 setupapi.dev.log 调查 USB 设备连接历史，适用于数字取证、内部威胁排查和事件响应。它支持时间线重建、设备关联以及可移动介质证据分析。

detecting-insider-threat-with-ueba 可帮助你在 Elasticsearch 或 OpenSearch 中构建 UEBA 检测，用于识别内部威胁场景，包括行为基线、异常评分、同类群组分析，以及针对数据外传、权限滥用和未授权访问的关联告警。适合在 Incident Response 工作流中使用 detecting-insider-threat-with-ueba。

detecting-insider-threat-behaviors 可帮助分析师排查内部威胁信号，例如异常数据访问、非工作时间活动、批量下载、权限滥用以及与离职相关的窃取行为。可将这份 detecting-insider-threat-behaviors 指南用于威胁狩猎、UEBA 风格分诊和威胁建模，并结合工作流模板、SIEM 查询示例和风险权重来使用。