명백히 비정상적이지만 악의적이지는 않은 감지 이벤트
Alice는 세인트 루이스 기반의 세일즈 담당자이며, 자주 클라이언트를 만나기 위해 이동합니다. 그녀는 출장 도중 대부분 불규칙적으로 회사의 VPN을 사용하여 Salesforce에 로그인합니다.
필수 Edition
| Salesforce Classic(일부 조직에서 사용할 수 없음) 및 Lightning Experience 모두에서 사용할 수 있습니다. |
지원 제품: Enterprise, Unlimited 및 Developer Edition Salesforce Shield 또는 Salesforce 이벤트 모니터링 추가 기능 구독이 필요합니다. |
2015년 7월 27일, 상대적이고 새로운 IP 주소에서 보고서를 생성하기 위해 Alice의 계정이 사용되었습니다. Alice가 속한 조직의 관리자인 Bob이 보고서 생성 활동에 대한 ReportAnomalyEvent를 파악했습니다. 이벤트에 다음 정보가 포함됩니다.
| ReportAnomalyEvent 필드 | 값 |
|---|---|
| 점수 | 95.0158 |
| SourceIp | 96.43.144.27 |
| EventDate | 2015-07-27T07:45:07.192Z |
| UserId | 00530000009M944 |
| 보고서 | 00OD0000001leVCMAY |
| SecurityEventData | (다음 표 참조) |
SecurityEventData 필드에 다음 정보가 포함됩니다.
| featureName | featureValue | featureContribution |
|---|---|---|
| autonomousSystem | 소프트뱅크 | 73.4% |
| rowCount | 50876 | 15.6% |
| userAgent | - | 9.9% |
| numberFilters | 11 | 0.81% |
| periodOfDay | 밤 | 0.21% |
Bob은 IP 주소에서 시작된 AS(Autonomous System)이 특성 기여도가 73.4%인 상위 특성이라는 사실을 파악합니다. 이 비율은 Alice가 이 AS(Autonomous System)를 거의 사용하지 않는다는 의미입니다. Bob은 보고서에 행이 50,000개 포함되어 있으며, 이는 이 조직에서 소량이 아니라는 점도 인지합니다. 따라서 Bob은 UserId를 사용하여 사용자를 Alice로 식별한 후 ReportEvent 이벤트를 살펴보고 Alice가 일반적으로 행이 1,000~10,000개 포함된 보고서를 생성한다는 사실을 인지합니다. 그러나 드문 사례지만 Alice가 50,000개가 넘는 행이 포함된 보고서를 생성한 적이 있습니다. userAgent는 특성 기여도가 낮으며, 이는 출장 중 Alice의 모바일 장치 사용 빈도가 줄어들기 때문일 수 있습니다. numberFilters 및 periodOfDay 특성은 특성 기여도가 낮으므로 중요하지 않습니다.
Bob은 Alice가 이 AS(Autonomous System)를 거의 사용하지 않고 보고서 크기가 Alice가 일반적으로 생성하는 것보다 크다는 사실을 기반으로 이 보고서는 일반적인 활동에서 벗어난다고 결론을 내렸습니다. 그러나 Bob은 Alice 또는 공격자가 이 악의적인 행동에 관여했는지 여부를 확인할 수 없어서 위협 완화 조치를 취하기 전에 이 사고에 대한 추가 정보를 수집하려고 합니다.
