本情境的責任是演練低頻資料外送的範圍判讀與通報。它以 MOVEit 2023 MFT exfiltration case 為來源，轉成通用 MFT 與資料出口 tabletop。

Scenario Trigger

外部 advisory 指出受管檔案傳輸系統存在已被利用漏洞。內部稽核發現 MFT 上有異常 web shell indicator 與多筆低頻大量下載。

Initial Hypothesis

Control Surface

控制面包含 data classification、MFT ownership、audit trail、incident communication、forensic preserve 與 retention。

Response Route

1. Contain：隔離 MFT、保留 forensic image、暫停高風險傳輸。
2. Scope：建立資料集、客戶、時間窗與存取主體映射。
3. Notify：讓 legal、customer success 與 incident commander 對齊通報節奏。
4. Recover：修補 MFT、輪替 credential、驗證 log coverage。
5. Write-back：更新資料出口控制、retention 與 low-frequency exfiltration detection。

Evidence Target

Write-back Target

• 7.4 資料保護與遮罩治理
• 7.24 資安事故如何回寫產品與架構
• Evidence chain pattern
• Exercise write-back pattern