מארח חדש. סיבה להסתכל.

איך זה נעלם מהעין

הסוכן שלך זקוק לתיעוד. רגע לאחר מכן, הפקודה שלו מצביעה על מארח שמעולם לא ראית בזרימת עבודה זו. היעד עשוי להיות לגיטימי. אך ללא הקשר, מארח חדש הוא רק שורה נוספת בטרמינל.

דמיין סוכן שמשתמש בדרך כלל באינדקס חבילות מוכר. במהלך משימה, יעד לא מוכר מופיע בארגומנטים המתועדים שלו. השאלה החשובה היא מדוע יעד זה שייך לסשן הזה.

מה ClawMetry מזהה

ClawMetry משווה הפניות מארח שנצפו עם קו הבסיס של הקבוצה שנלמדה. מארח שאינו נמצא בקו הבסיס עשוי להעלות אזהרת יציאת רשת. הממצא מזהה את המארח החדש ואת הסיבה שנחשב לחריג.

ההבדל שמשנה את הממצא

בדוגמה שנבדקה, קו הבסיס מכיל את מארח החבילות המוכר. מארח זה נשאר שקט. מארח אחר מעלה ממצא של יעד ראשון. השוואה זו דורשת קו בסיס שנלמד; התקנה חדשה עדיין לא יודעת את היעדים הרגילים שלך.

{
  "kind": "network_egress",
  "severity": "warning",
  "evidence": {
    "ground": "first_time",
    "distinct_hosts": 1,
    "hosts": [
      "collector.invalid"
    ],
    "new_hosts": [
      "collector.invalid"
    ],
    "settling_hosts": [],
    "raw_addresses": [],
    "known_host_count": 1,
    "threshold": 8,
    "write_hosts": [],
    "read_only_writes": [],
    "observed": "tool_arguments"
  }
}

מה לבדוק בהמשך

בדוק את הפקודה והמשימה הסובבת. האם הסוכן שלף תיעוד, התקין תלות או ניסה לכתוב? בדוק את הבעלות על היעד וכל פעילות רגישה שקדמה לה. השתמש בעובדות אלה כדי להחליט האם הפעולה הייתה צפויה.

1. בדוק את הפקודה
2. אמת את היעד
3. בדוק פעילות קודמת