Tại sao dễ bị bỏ qua
Agent của bạn cần tài liệu. Một lúc sau, lệnh của nó trỏ đến một host bạn chưa bao giờ thấy trong quy trình làm việc này. Đích đến có thể hợp lệ. Nhưng không có ngữ cảnh, một host mới chỉ là một dòng khác trong terminal.
Hãy tưởng tượng một agent thường sử dụng chỉ mục gói quen thuộc. Trong một tác vụ, một đích đến lạ xuất hiện trong các đối số công cụ đã ghi lại. Câu hỏi quan trọng là tại sao đích đến đó lại có trong phiên này.
ClawMetry phát hiện gì
ClawMetry so sánh các tham chiếu host đã quan sát với đường cơ sở nhóm đã học. Một host vắng mặt trong đường cơ sở đó có thể kích hoạt cảnh báo lưu lượng mạng đi ra. Phát hiện xác định host mới và lý do nó được coi là bất thường.
Sự khác biệt thay đổi kết quả phát hiện
Ví dụ kích hoạt
collector.invalid
Phát hiện cảnh báo
So sánh im lặng
pypi.org trong đường cơ sở
Không có kết quả phát hiện cho detector này.
Trong ví dụ đã kiểm tra, đường cơ sở chứa host gói quen thuộc. Host đó im lặng. Một host khác kích hoạt phát hiện đích đến lần đầu. So sánh này cần đường cơ sở đã học, một cài đặt mới chưa biết các đích đến bình thường của bạn.
Kiểm tra kết quả detector
{
"kind": "network_egress",
"severity": "warning",
"evidence": {
"ground": "first_time",
"distinct_hosts": 1,
"hosts": [
"collector.invalid"
],
"new_hosts": [
"collector.invalid"
],
"settling_hosts": [],
"raw_addresses": [],
"known_host_count": 1,
"threshold": 8,
"write_hosts": [],
"read_only_writes": [],
"observed": "tool_arguments"
}
}Cách ví dụ được kiểm tra
Các ví dụ này đánh giá detector đã xuất bản bằng dữ liệu sự kiện được soạn thảo hoặc tệp cấu hình dùng một lần. Video minh họa các hành vi đó. Đây không phải là bản ghi của agent thực hoặc giao diện sản phẩm. Không có lệnh nào trong ví dụ được thực thi.
Kết quả xác lập hành vi cho các đầu vào này. Nó không xác lập việc thu thập runtime, ngăn chặn hay một sự xâm phạm thực sự. Kiểm tra hợp đồng nguồn đã ghim.
Những gì cần kiểm tra tiếp theo
Kiểm tra lệnh và tác vụ xung quanh. Agent đang lấy tài liệu, cài đặt dependency hay đang thử ghi? Kiểm tra quyền sở hữu đích đến và mọi hoạt động nhạy cảm trước đó. Dùng những sự thật đó để quyết định hành động có được mong đợi không.
- Kiểm tra lệnh
- Xác minh đích đến
- Kiểm tra hoạt động trước đó
Tín hiệu này xác lập điều gì
Tham chiếu host đến từ đối số công cụ, không phải packet capture. Một host mới không chứng minh kết nối thành công hay dữ liệu bị rò rỉ.