Może porównywać obserwacje z jawną polityką, bazą historyczną, grupami równiejszymi, oczekiwanymi wzorcami procesów lub znanym zachowaniem przeciwników. Wejścia mogą obejmować tożsamości, punkty końcowe, aplikacje, sieci, usługi chmurowe, obciążenia i systemy operacyjne.
Metody sięgają od reguł deterministycznych i statystyki po analizę grafową i uczenie maszynowe. Wyniki to powszechnie anomalie, wyniki ryzyka, klastry lub skorelowane tropy, które analitycy lub zautomatyzowane kontrole oceniają z kontekstem. Podejście może wspierać detekcję, aktywne wyszukiwanie zagrożeń, analizę oszustw, pracę nad ryzykiem wewnętrznym i monitoring kontroli.
Najważniejsze punkty
Najpierw pytaniaZdefiniuj zachowanie będące przedmiotem zainteresowania, jednostki i okno czasowe, wymagane obserwacje, oczekiwane porównanie i decyzję, którą wynik ma wspierać.
KontekstUwzględnij przeznaczenie zasobu, cykl życia tożsamości, konserwację, sezonowość, dobór grup równiejszych, architekturę, procesy biznesowe i znane zmiany, zanim potraktujesz zmienność jako podejrzaną.
ZarządzanieMinimalizuj i chroń zbierane dane, kontroluj dostęp i retencję, oceniaj skutki dla siły roboczej i prywatności, wyjaśniaj wyniki o konsekwencjach i zapewnij ścieżki przeglądu oraz korekty.
Istotne ograniczenieNiezwykłe zachowanie nie musi być złośliwe, a złośliwe zachowanie może przypominać rutynową aktywność. Brakująca telemetria, dryfujące lub zatrute bazy, tendencyjne grupy równiejsze, nieprzejrzyste punktowanie i zmieniające się systemy mogą produkować zarówno fałszywą pewność, jak i fałszywe alerty.