API-havaintotapahtuma vahvistetaan pahantahtoiseksi
Alan, joka on Salesforce-käyttäjä, käyttää API-rajapintaa Mahdollisuus-objektin kyselemiseen ja noutaa 10 miljoonaa tietuetta. Alan kyselee Mahdollisuus-objektia ensimmäistä kertaa ja käyttää tätä IP-osoitetta kirjautuakseen sisään.
Vaaditut versiot
| Käytettävissä Salesforce Classicissa (ei kaikissa organisaatioissa) ja Lightning Experiencessa. |
Käytettävissä: Enterprise Edition-, Unlimited Edition- ja Developer Edition -versioissa. Vaatii Salesforce Shield- tai Salesforce Event Monitoring -lisäosatilauksen. |
Tapahtuma sisältää nämä tiedot.
| APIAnomalyEvent-kenttä | Arvo |
|---|---|
| Score | .95851 |
| SourceIp | 96.43.144.26 |
| EventDate | 2019-05-12T12:22:10.298+00:00 |
| UserId | 00530000009M943 |
| SecurityEventData | (katso seuraava taulukko) |
SecurityEventData-kenttä sisältää nämä tiedot.
| featureName | featureValue | featureContribution |
|---|---|---|
| rowCount | 1937568 | 95,00 % |
| autonomousSystem | Bigleaf Networks, Inc. | 1,62 % |
| dayOfWeek | Sunday | 1,42 % |
| userAgent | Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, kuten Gecko) Chrome/76.0.3809.132 Safari/537.36} | 29,21 % |
| periodOfDay | Iltapäivä | 0,09 % |
| averageRowSize | 744 | 0,08 % |
| screenResolution | 900x1440 | 0,07 % |
Kate, joka on tietoturvatarkastaja, aloittaa tutkinnan. Hän käyttää UserId-arvoa määrittääkseen, että Alan tiliä käytettiin Mahdollisuus-objektin kyselyyn. Hän hakee Alan tapahtumista ja huomaa, ettei hän ole koskaan kysellyt Mahdollisuus-objektia. Taulukossa näytetään, että rowCount aiheutti lähes 100 % tästä poikkeavuudesta. Tämä ominaisuuden vaikutusarvo on numeroarvo, joka osoittaa, miten vahvasti rowCount vaikutti tämän raportin luontitoiminnan merkitsemiseksi poikkeavuudeksi. Koska Alan ei ole luonut pieniä raportteja (500 - 1000 riviä) säännöllisesti, miljoona riviä sisältävä raportti on selkeä poikkeus. Tämä fakta luo ominaisuudelle korkean vaikutusarvon.
Kate huomaa seuraavaksi, että Alanin tilille murtauduttiin ja että hyökkääjä laajensi Alanin käyttöoikeudet koskemaan koko myyntitiimin dataa. Tästä syystä raportti sisältää koko myyntitiimin myyntiliidit, eikä vain Alanille kohdistettuja myyntiliidejä.
Kate päättelee, että tämä havaintotapahtuma on pahantahtoinen.
