Rekommenderade metoder för att undersöka rapportavvikelser
Tänk på dessa tips och rekommendationer när du undersöker ovanliga beteenden hos användare. De kan hjälpa dig hitta den information du behöver för att dra välgrundade slutsatser om dina datas säkerhet.
Versioner som krävs
| Tillgängligt i både Salesforce Classic (inte tillgängligt i alla organisationer) och Lightning Experience. |
Tillgängliga i: Enterprise, Unlimited och Developer Edition Kräver tilläggsprenumerationerna Salesforce Shield eller Salesforce Event Monitoring. |
- Identifiera den involverade användaren.
- Tänk på att på grund av kundsekretess har vi inte åtkomst till kunddata eller data inuti rapporterna. Som ett resultat av detta kan vi endast ange användar-ID för användaren som skapade rapporten som är markerad som en avvikelse. Använd detta användar-ID för att hitta användarnamnet och andra detaljer om personen som associeras med händelsen.
Fält: ReportAnomalyEvent.UserId
- Använd tidsstämpeln.
- Vår upptäcktsmodell överväger redan olika funktioner som kommer från tidsstämpeln för att avgöra om rapportskapandet är avvikande eller inte. Du kan använda denna tidsstämpel för att begränsa uppsättningen av händelser som du måste granska. Du kan även avgöra om tidpunkten för att skapa rapporten är ovanlig för användaren som skapade rapporten.
Fält: ReportAnomalyEvent.EventDate
- Använd bidragande faktorer som en guide.
- JSON-resultatet för bidragande faktorer visar funktionerna i fallande ordning för bidragande. Medan du startar din utredning av händelseloggarna, håll ett öga öppet för de främsta bidragande funktionerna. Om dessa funktioner ser ovanliga ut kan de ge mer bevis som bekräftar avvikelsen eller till och med indikerar ett möjligt dataintrång.
Fält: ReportAnomalyEvent.SecurityEventData
- Överväg avvikelsen i sammanhanget för användarens vanliga beteende.
- Försök med ReportEvent-fältvärdena att avgöra om användaraktiviteten inom händelsen är typisk för användaren. Titta till exempel på om det är typiskt för en användare att skapa en rapport från IP-adressen som anges.
Fält: ReportAnomalyEvent.SourceIp
- Överväg storleken på rapporten.
- Vi överväger storleken på rapporten för att avgöra om rapportskapandet var avvikande. En användare som skapar en större rapport än vanligt kan indikera en ej auktoriserad dataexport. Till exempel kan en obehörig få åtkomst till användarens konto och försöka få ut så mycket data som möjligt innan åtkomsten förloras. Alternativt kan det innebära att en missnöjd anställd försöker få ut data för användning utanför arbetsgivarens behov.
Fält: ReportAnomalyEvent.SecurityEventData (specifikt funktionsnamnet rowCount)
- Inte alla avvikelser är skadliga.
- Vissa avvikelser kan indikera ett skadligt uppsåt, men andra avvikelser kan vara legitima men ovanliga. Vår detekteringsmodell kan skapa detekteringshändelser som är ovanliga men inte skadliga. Till exempel, om en anställd befordras till en ny roll och börjar skapa större rapporter, kan vår modell flagga detta beteende som avvikande.
Löste denna artikel ditt problem?
Berätta för oss vad vi kan förbättra!
