En ny värd. En anledning att titta.

Hur det förbises

Din agent behöver dokumentation. Ett ögonblick senare pekar dess kommando på en värd du aldrig sett i det här arbetsflödet. Destinationen kan vara legitim. Men utan sammanhang är en ny värd bara ytterligare en rad i terminalen.

Föreställ dig en agent som normalt använder ett välbekant paketindex. Under en uppgift dyker en okänd destination upp i dess inspelade verktygsargument. Den viktiga frågan är varför den destinationen hör hemma i den här sessionen.

Vad ClawMetry identifierar

ClawMetry jämför observerade värdreferenser med den inlärda kohortbaslinjen. En värd som saknas i den baslinjen kan utlösa en nätverksutgångsvarning. Fyndet identifierar den nya värden och anledningen till att den ansågs ovanlig.

Skillnaden som förändrar fyndet

I det kontrollerade exemplet innehåller baslinjen den välbekanta paketservern. Den värden förblir tyst. En annan värd utlöser ett fynd om en okänd destination. Den här jämförelsen kräver en inlärd baslinje; en ny installation känner inte redan till dina normala destinationer.

{
  "kind": "network_egress",
  "severity": "warning",
  "evidence": {
    "ground": "first_time",
    "distinct_hosts": 1,
    "hosts": [
      "collector.invalid"
    ],
    "new_hosts": [
      "collector.invalid"
    ],
    "settling_hosts": [],
    "raw_addresses": [],
    "known_host_count": 1,
    "threshold": 8,
    "write_hosts": [],
    "read_only_writes": [],
    "observed": "tool_arguments"
  }
}

Vad du kontrollerar härnäst

Granska kommandot och den omgivande uppgiften. Hämtade agenten dokumentation, installerade ett beroende eller försökte skriva? Kontrollera destinationens ägarskap och eventuell känslig aktivitet som föregick det. Använd dessa fakta för att avgöra om åtgärden var förväntad.

1. Granska kommandot
2. Verifiera destinationen
3. Kontrollera föregående aktivitet