偵測事件絕對是異常但可能不是惡意

提供版本:Salesforce Classic (並非所有組織均可使用) 與 Lightning Experience。

提供版本：Enterprise、Unlimited 及 Developer Edition 需要 Salesforce 或 Salesforce Shield 事件監視附加元件訂閱。

2015 年 7 月 27 日，Alice 的帳戶被用來從相對較新的 IP 位址產生報告。Alice 所屬組織的管理員 Bob 注意到有關此報告產生活動的 ReportAnomalyEvent。事件包含以下這些資訊。

ReportAnomalyEvent 欄位	值
得分	95.0158
SourceIp	96.43.144.27
EventDate	2015-07-27T07:45:07.192Z
使用者識別碼	00530000009M944
報告	00OD0000001leVCMAY
SecurityEventData	(請參閱下方表格)

SecurityEventData 欄位包含這些資訊。

featureName	featureValue	featureContribution
autonomousSystem	Softbank Corp	73.4%
rowCount	50876	15.6%
userAgent	-	9.9%
numberFilters	11	0.81%
periodOfDay	Night	0.21%

Bob 注意到自發系統 (衍生自該 IP 位址) 是排名最高的功能，佔功能影響比例 73.4%。此百分比表示 Alice 極少使用此自發系統。Bob 同時還注意到報告約有 50,000 列，對此組織而言，這數量不少。接著，Bob 使用 UserId 找出使用者是 Alice。透過查看 ReportEvent 事件，Bob 注意到 Alice 通常會產生包含 1,000–10,000 列的報告。不過 Alice 偶爾還是會產生超過 50,000 列的報告。userAgent 的功能影響比例較低，這可能可以歸因於 Alice 很少在旅行時使用她的行動裝置。numberFilters 和 periodOfDay 功能的功能影響比例低，因此不重要。

由於 Alice 極少使用此自發系統，而且報告大於 Alice 通常會產生的大小，因此 Bob 總結此報告落在一般活動之外。然而，Bob 無法確認是 Alice 或是攻擊者犯下此惡意行為。他嘗試取得更多有關此事件的詳細資訊，然後再採取任何威脅風險降低措施。