Poate compara observațiile cu politici explicite, un baselin istoric, grupuri de perechi, tipare de proces așteptate sau comportament adversar cunoscut. Intrările pot acoperi identități, endpointuri, aplicații, rețele, servicii cloud, sarcini de lucru și sisteme operaționale.
Metodele variază de la reguli deterministe și statistici la analiză de grafuri și învățare automată. Ieșirile includ în mod obișnuit anomalii, scoruri de risc, clustere sau piste corelate pe care analiștii sau controalele automate le evaluează cu context. Abordarea poate susține detecția, vânătoarea, analiza fraudei, activitatea de risc din interior și monitorizarea controalelor.
Puncte esențiale
Întâi întrebărileDefiniți comportamentul de interes, entitățile și fereastra de timp, observațiile necesare, comparația așteptată și decizia pe care rezultatul este menit să o susțină.
ContextLuați în calcul scopul activului, ciclul de viață al identității, întreținerea, sezonalitatea, selectarea perechilor, arhitectura, procesele de afaceri și modificările cunoscute înainte de a trata variația ca suspectă.
GuvernanțăMinimizați și protejați datele colectate, controlați accesul și retenția, evaluați efectele asupra forței de muncă și confidențialității, explicați rezultatele cu consecințe și oferiți căi de revizuire și corecție.
Limitare importantăComportamentul neobișnuit nu este neapărat malițios, iar comportamentul malițios poate semăna cu activitatea de rutină. Telemetria lipsă, baselinile în derivă sau otrăvite, grupurile de perechi părtinitoare, scorarea opacă și sistemele în schimbare pot produce atât încredere falsă, cât și alerte false.