Host baru. Alasan untuk melihat lebih dekat.

Bagaimana ini bisa terlewat

Agen Anda membutuhkan dokumentasi. Sesaat kemudian, perintahnya mengarah ke host yang belum pernah Anda lihat dalam alur kerja ini. Tujuan tersebut mungkin sah. Namun tanpa konteks, host baru hanyalah baris lain di terminal.

Bayangkan agen yang biasanya menggunakan indeks paket yang sudah dikenal. Selama sebuah tugas, tujuan yang tidak dikenal muncul dalam argumen alat yang direkam. Pertanyaan pentingnya adalah mengapa tujuan tersebut ada dalam sesi ini.

Apa yang dideteksi ClawMetry

ClawMetry membandingkan referensi host yang diamati dengan baseline kohort yang dipelajari. Host yang tidak ada dalam baseline dapat memunculkan peringatan network egress. Temuan mengidentifikasi host baru dan alasan mengapa dianggap tidak biasa.

Perbedaan yang mengubah temuan

Dalam contoh yang diperiksa, baseline berisi host paket yang sudah dikenal. Host tersebut tidak memunculkan apa pun. Host yang berbeda memunculkan temuan tujuan pertama kali. Perbandingan ini memerlukan baseline yang sudah dipelajari; instalasi baru belum mengetahui tujuan normal Anda.

{
  "kind": "network_egress",
  "severity": "warning",
  "evidence": {
    "ground": "first_time",
    "distinct_hosts": 1,
    "hosts": [
      "collector.invalid"
    ],
    "new_hosts": [
      "collector.invalid"
    ],
    "settling_hosts": [],
    "raw_addresses": [],
    "known_host_count": 1,
    "threshold": 8,
    "write_hosts": [],
    "read_only_writes": [],
    "observed": "tool_arguments"
  }
}

Apa yang perlu diperiksa selanjutnya

Periksa perintah dan tugas di sekitarnya. Apakah agen mengambil dokumentasi, menginstal dependensi, atau mencoba menulis? Periksa kepemilikan tujuan dan aktivitas sensitif yang terjadi sebelumnya. Gunakan fakta tersebut untuk memutuskan apakah tindakan itu diharapkan.

1. Periksa perintahnya
2. Verifikasi tujuannya
3. Periksa aktivitas sebelumnya