چگونه نادیده گرفته میشود
یک عامل به مقصدی مینویسد. عامل دیگری همین کار را میکند. سپس چند عامل دیگر. هر جلسه ممکن است به تنهایی معمولی به نظر برسد، در حالی که الگوی ناوگان چیزی ارزشمند برای بررسی به شما میگوید.
تصور کنید شش جلسه بیارتباط زیر همان پیشوند مقصد ناآشنا مینویسند. بررسی به ازای هر جلسه یک اقدام در یک زمان میبیند. سوال مغفول این است که آیا عاملهای مستقل شروع به انجام همان کار غیرمعمول با هم کردهاند.
آنچه ClawMetry شناسایی میکند
ClawMetry اقدامات نوشتن پشتیبانیشده را بر اساس روش، میزبان و پیشوند مسیر نرمالشده گروهبندی میکند. با تاریخچه کافی گره، بررسی میکند که آیا اثر انگشت غیرمعمول توسط خانوادههای جلسه بیارتباط کافی به اشتراک گذاشته میشود. تطابق یک هشدار اقدام هماهنگ با جلسات شرکتکننده ایجاد میکند.
تفاوتی که یافته را تغییر میدهد
مثال محرک
6 خانواده بیارتباط
یافته هشداری
مقایسه بدون هشدار
1 خانواده ارکستراتور
هیچ یافتهای برای این آشکارساز وجود ندارد.
مثال بررسیشده شش جلسه بیارتباط دارد که اثر انگشت نوشتن جدیدی به اشتراک میگذارند و یک یافته تولید میکند. همان جلسات را به یک ارکستراتور مرتبط کنید و به جای آن بهعنوان یک خانواده شمرده میشوند. آشکارساز بیصدا میماند زیرا همکاری مورد انتظار والد و زیرعامل با همگرایی مستقل متفاوت است.
نتیجه آشکارساز را بررسی کنید
{
"kind": "coordinated_action",
"severity": "warning",
"evidence": {
"fingerprint": {
"verb": "PUT",
"host": "collector.invalid",
"path_prefix": "/shared/board"
},
"fingerprint_key": "PUT collector.invalid/shared/board",
"families": 6,
"sessions": 6,
"session_ids": [
"claude_code:session0",
"claude_code:session1",
"claude_code:session2",
"claude_code:session3",
"claude_code:session4",
"claude_code:session5"
],
"threshold": 5,
"first_seen_by_node": null,
"settle_hours": 24.0,
"observed": "tool_arguments"
}
}چگونه مثال بررسی شد
این مثالها آشکارساز منتشرشده را با دادههای رویداد نوشتهشده یا فایلهای پیکربندی موقت ارزیابی میکنند. ویدیوها آن رفتارها را نشان میدهند. آنها ضبط عوامل زنده یا رابط محصول نیستند. هیچ دستوری در مثالها اجرا نشده است.
نتیجه رفتار را برای این ورودیها تعیین میکند. این نتیجه جذب زمان اجرا، پیشگیری یا یک نقض واقعی را ثابت نمیکند. قرارداد منبع ثابتشده را بررسی کنید.
آنچه بعداً باید بررسی کنید
مقصد مشترک را بررسی کرده و وظایف شرکتکنندگان را مقایسه کنید. آیا راهاندازی مورد نظر یا وابستگی مشترکی وجود داشت؟ جلسات را به منبع رفتار برگردانید. ناوگان را با هم بررسی کنید نه اینکه هر اقدام را بهتنهایی رد کنید.
- مقصد مشترک را بررسی کنید
- وظایف شرکتکنندگان را مقایسه کنید
- منبع مشترک را ردیابی کنید
آنچه این سیگنال ثابت میکند
این از آرگومانهای ابزار ثبتشده استفاده میکند، نه ترافیک شبکه. به تاریخچه تثبیتشده نیاز دارد و همکاری، مصالحه یا نوشتن موفق را اثبات نمیکند.