Yeni bir sunucu. Bakmanız için bir neden.

Nasıl gözden kaçıyor

Ajanınız belgelere ihtiyaç duyuyor. Bir an sonra komutu, bu iş akışında hiç görmediğiniz bir sunucuya işaret ediyor. Hedef meşru olabilir. Ancak bağlam olmadan yeni bir sunucu terminaldeki başka bir satırdan ibarettir.

Normalde tanıdık bir paket dizini kullanan bir ajan hayal edin. Bir görev sırasında, kaydedilen araç bağımsız değişkenlerinde tanıdık olmayan bir hedef belirir. Önemli soru, o hedefin bu oturumda neden yer aldığıdır.

ClawMetry neyi tespit eder

ClawMetry, gözlemlenen sunucu referanslarını öğrenilmiş kohort taban çizgisiyle karşılaştırır. Bu taban çizgisinde bulunmayan bir sunucu ağ çıkış uyarısı verebilir. Bulgu, yeni sunucuyu ve alışılmışın dışında kabul edilme nedenini tanımlar.

Bulguyu değiştiren fark

Kontrol edilen örnekte, taban çizgisi tanıdık paket sunucusunu içerir. Bu sunucu sessiz kalır. Farklı bir sunucu ilk kez görülen hedef bulgusunu verir. Bu karşılaştırma öğrenilmiş bir taban çizgisi gerektirir; yeni bir kurulum normal hedeflerinizi henüz bilmez.

{
  "kind": "network_egress",
  "severity": "warning",
  "evidence": {
    "ground": "first_time",
    "distinct_hosts": 1,
    "hosts": [
      "collector.invalid"
    ],
    "new_hosts": [
      "collector.invalid"
    ],
    "settling_hosts": [],
    "raw_addresses": [],
    "known_host_count": 1,
    "threshold": 8,
    "write_hosts": [],
    "read_only_writes": [],
    "observed": "tool_arguments"
  }
}

Sonraki kontrol noktaları

Komutu ve çevresindeki görevi inceleyin. Ajan belge mi alıyordu, bir bağımlılık mı kuruyordu yoksa yazma mı deniyordu? Hedefin sahipliğini ve öncesindeki hassas etkinlikleri kontrol edin. Bu bilgileri kullanarak eylemin beklenen olup olmadığına karar verin.

1. Komutu inceleyin
2. Hedefi doğrulayın
3. Önceki etkinliği kontrol edin