host ใหม่ เหตุผลที่ต้องตรวจสอบ

เหตุใดจึงมองข้ามได้ง่าย

agent ของคุณต้องการเอกสาร อีกครู่ต่อมา คำสั่งชี้ไปยัง host ที่คุณไม่เคยเห็นใน workflow นี้ destination อาจถูกต้อง แต่หากปราศจากบริบท host ใหม่ก็เป็นเพียงอีกบรรทัดหนึ่งในเทอร์มินัล

ลองนึกภาพ agent ที่ปกติใช้ package index ที่คุ้นเคย ระหว่างทำงาน destination ที่ไม่คุ้นเคยปรากฏใน tool argument ที่บันทึกไว้ คำถามสำคัญคือทำไม destination นั้นถึงอยู่ใน session นี้

สิ่งที่ ClawMetry ตรวจจับ

ClawMetry เปรียบเทียบ host reference ที่สังเกตเห็นกับ cohort baseline ที่เรียนรู้ไว้ host ที่ไม่มีใน baseline อาจสร้าง network egress warning ผลการตรวจพบระบุ host ใหม่และเหตุผลที่ถือว่าผิดปกติ

ความแตกต่างที่เปลี่ยนผลการตรวจสอบ

ในตัวอย่างที่ตรวจสอบแล้ว baseline มี package host ที่คุ้นเคย host นั้นยังคงเงียบ host อื่นสร้าง first time destination finding การเปรียบเทียบนี้ต้องการ baseline ที่เรียนรู้แล้ว การติดตั้งใหม่ยังไม่รู้จัก destination ปกติของคุณ

{
  "kind": "network_egress",
  "severity": "warning",
  "evidence": {
    "ground": "first_time",
    "distinct_hosts": 1,
    "hosts": [
      "collector.invalid"
    ],
    "new_hosts": [
      "collector.invalid"
    ],
    "settling_hosts": [],
    "raw_addresses": [],
    "known_host_count": 1,
    "threshold": 8,
    "write_hosts": [],
    "read_only_writes": [],
    "observed": "tool_arguments"
  }
}

สิ่งที่ควรตรวจสอบต่อไป

ตรวจสอบคำสั่งและงานที่เกี่ยวข้อง agent กำลังดึงเอกสาร ติดตั้ง dependency หรือพยายาม write หรือไม่ ตรวจสอบความเป็นเจ้าของ destination และกิจกรรมที่ละเอียดอ่อนที่เกิดขึ้นก่อนหน้า ใช้ข้อเท็จจริงเหล่านั้นตัดสินใจว่าการกระทำนั้นคาดหวังหรือไม่

1. ตรวจสอบคำสั่ง
2. ยืนยัน destination
3. ตรวจสอบกิจกรรมก่อนหน้า