Best Practices voor het onderzoeken van abnormale API-verzoeken
Houd rekening met deze tips en best practices wanneer u ongewoon gedrag van gebruikers onderzoekt. Zoek de informatie die u nodig hebt om te beoordelen of uw gegevens veilig zijn.
Vereiste editions
| Beschikbaar in zowel Salesforce Classic (niet in alle organisaties beschikbaar) als Lightning Experience. |
Beschikbaar in: Enterprise, Unlimited en Developer Edition Vereist de aanschaf van uitbreidingsabonnementen voor Salesforce Shield of Salesforce Event Monitoring. |
| Best practice | Beschrijving |
|---|---|
| Identificeer de betrokken gebruiker. | Met het oog op de privacy van klanten hebben we geen toegang tot klantgegevens of gegevens in de rapporten. Daardoor kunnen we alleen de gebruikers-ID bieden van de gebruiker die het rapport heeft gegenereerd dat werd aangeduid als een anomalie. Gebruik deze gebruikers-ID om de gebruikersnaam en andere details te vinden over de persoon die aan het gedetecteerde event is gekoppeld. Veld: ApiAnomalyEvent.UserId |
| Gebruik de tijdstempel. | Ons detectiemodel houdt al rekening met verscheidene voorzieningen afgeleid van de tijdstempel om rapportgeneratie-activiteit als afwijkend te bepalen of niet. U kunt deze tijdstempel gebruiken om de set van events die u moet controleren, te verfijnen. U kunt ook bepalen of het tijdstip waarop het rapport werd gegenereerd ongewoon was voor de gebruiker die het rapport heeft gegenereerd. Veld: ApiAnomalyEvent.EventDate |
| Gebruik bijdragende factoren als richtlijn. | De JSON-uitvoer bijdragende factoren toont de voorzieningen in aflopende volgorde van bijdrage. Kijk uit voor de voornaamste bijdragende factoren wanneer u uw onderzoek van de eventlogboeken start. Als deze voorzieningen ongewoon lijken, kunnen ze meer bewijs leveren dat de anomalie bevestigt of zelfs duidt op een mogelijke gegevensinbreuk. Veld: ApiAnomalyEvent.SecurityEventData |
| Bekijk de anomalie in de context van het typische gedrag van de gebruiker. | Aan de hand van de waarden van het ReportAnomalyEvent-veld, probeert u te bepalen of de gebruikersactiviteit binnen het detectie-event typisch is voor de gebruiker. Bijvoorbeeld, overweeg of het typisch is voor een gebruiker om een rapport te genereren vanaf het opgegeven IP-adres. Veld: ApiAnomalyEvent.SourceIp |
| Bekijk de grootte van het rapport. | We bekijken de grootte van het rapport om te bepalen of de rapportgeneratie afwijkend was. Een gebruiker die een rapport genereert dat groter is dan gewoonlijk, kan duiden op een ongeoorloofde poging tot gegevensexport. Bijvoorbeeld, een aanvaller heeft ongeoorloofde toegang verkregen tot de gebruikersaccount en heeft zo veel mogelijk gegevens geëxfiltreerd voordat de toegang werd geblokkeerd. Het zou ook kunnen betekenen dat een ontevreden medewerker gegevens ontfutselt voor doeleinden die buiten de behoeften van de werkgever vallen. Veld: ApiAnomalyEvent.SecurityEventData (met name de naam van de rowCount-voorziening) |
| Niet alle anomalieën zijn kwaadwillig. | Terwijl sommige anomalieën kunnen duiden op een kwaadwillige intentie, kunnen andere anomalieën legitiem, maar ongewoon zijn. Ons detectiemodel kan detectie-events opleveren die ongewoon, maar niet kwaadwillig zijn. Bijvoorbeeld, als een werknemer wordt gepromoveerd tot een nieuwe rol en grotere rapporten begint te genereren, kan ons model dit gedrag als afwijkend markeren. |
