Usted está aquí:
El evento de detección es definitivamente anómalo, pero puede no ser malicioso
Alice es una representante de ventas con sede en San Luis. Realiza desplazamientos a menudo para reunirse con clientes. Cuando viaja, de forma habitual, pero no constantemente, utiliza la VPN de su empresa para iniciar sesión en Salesforce.
Ediciones necesarias
| Disponible en Salesforce Classic (no disponible en todas las organizaciones) y Lightning Experience. |
Disponible en: Enterprise Edition, Unlimited Edition y Developer Edition Requiere suscripciones de complementos de Salesforce Shield o Supervisión de eventos de Salesforce. |
El 27 de julio de 2015, la cuenta de Alice se utilizó para generar un informe desde una dirección IP relativamente nueva. Bob, el administrador de la organización de Alice, detectó un ReportAnomalyEvent sobre esta actividad de generación de informes. El evento contenía esta información.
| Campo de ReportAnomalyEvent | Valor |
|---|---|
| Puntuación | 95,0158 |
| SourceIp | 96.43.144.27 |
| EventDate | 2015-07-27T07:45:07.192Z |
| UserId | 00530000009M944 |
| Informe | 00OD0000001leVCMAY |
| SecurityEventData | (vea la tabla siguiente) |
El campo SecurityEventData contenía esta información.
| featureName | featureValue | featureContribution |
|---|---|---|
| autonomousSystem | Softbank Corp | 73,4% |
| rowCount | 50876 | 15,6% |
| userAgent | - | 9,9% |
| numberFilters | 11 | 0,81% |
| periodOfDay | Night | 0,21% |
Bob observa que el sistema autónomo, derivado de la dirección IP, obtiene la función con mayor puntuación con un 73,4% de contribución de funciones. Este porcentaje indica que Alice raramente utiliza este sistema autónomo. Bob también detecta que el informe tiene más de 50.000 filas, que no es un número pequeño para esta organización. A continuación, Bob utiliza UserId para identificar al usuario como Alice. Mirando los eventos ReportEvent, Bob observa que Alice normalmente genera informes que contienen de 1.000 a 10.000 filas. Pero en raras ocasiones, Alice generó informes con más de 50.000 filas. userAgent tiene una contribución de funciones menor, lo que podría atribuirse a que Alice utilizó su dispositivo móvil en menor medida cuando viaja. Las funciones numberFilters y periodOfDay tienen contribución de funciones más pequeñas, y por lo tanto no son importantes.
Debido a que Alice utiliza este sistema autónomo y el informe es mayor a los que Alice genera normalmente, Bob concluye que este informe queda fuera de la actividad habitual. No obstante, Bob no se puede verificar si Alice o un atacante realizó este acto malicioso. Intenta obtener más información sobre este incidente antes de realizar cualquier acción de mitigación de amenazas.
