Může porovnávat pozorování s explicitní politikou, historickou baseline, skupinami vrstevníků, očekávanými procesními vzory nebo známým chováním protivníků. Vstupy mohou zahrnovat identity, koncová zařízení, aplikace, sítě, cloudové služby, úlohy a operační systémy.
Metody sahají od deterministických pravidel a statistiky přes grafovou analýzu po strojové učení. Výstupy běžně zahrnují anomálie, skóre rizika, clustery nebo korelovaná vodítka, která analytici či automatizované kontroly hodnotí s kontextem. Přístup může podporovat detekci, lov hrozeb, analýzu podvodů, práci s vnitřními riziky a monitorování kontrol.
Klíčové body
Nejprve otázkyDefinujte zajímající chování, entity a časové okno, požadovaná pozorování, očekávané srovnání a rozhodnutí, které má výsledek podporovat.
KontextPřed považováním odchylky za podezřelou zohledněte účel aktiva, životní cyklus identity, údržbu, sezónnost, výběr vrstevníků, architekturu, podnikové procesy a známé změny.
ŘízeníMinimalizujte a chraňte sesbíraná data, řiďte přístup a uchovávání, posuďte dopady na pracovní sílu a soukromí, vysvětlujte zásadní výsledky a poskytněte cesty přezkumu a opravy.
Důležité omezeníNeobvyklé chování nemusí být škodlivé a škodlivé chování může připomínat rutinní aktivitu. Chybějící telemetrie, driftující či otrávené baseliny, zkreslené skupiny vrstevníků, neprůhledné skórování a měnící se systémy mohou produkovat falešnou jistotu i falešné výstrahy.