L'evento di rilevamento รจ confermato come intenzionalmente dannoso
John, un agente di vendita di San Francisco, viaggia spesso per lavoro. Scarica regolarmente rapporti dei suoi lead per le presentazioni settimanali sulle vendite. John ha accesso a 500-1.000 lead e i suoi download settimanali di rapporti di solito contengono da 500 a 1.000 righe.
Versioni (Edition) richieste
| Disponibile in Salesforce Classic (non in tutte le organizzazioni) e Lightning Experience. |
Disponibile in: Enterprise Edition, Unlimited Edition e Developer Edition Richiede l'abbonamento ai componenti aggiuntivi Salesforce Shield o Monitoraggio evento Salesforce. |
Tuttavia, il 12 maggio 2019, รจ stato scaricato un rapporto di 996.262 righe usando l'account di John. Kate, l'amministratore dell'organizzazione di John, ha notato un oggetto ReportAnomalyEvent relativo a questa attivitร di generazione rapporto. L'evento conteneva queste informazioni.
| Campo ReportAnomalyEvent | Valore |
|---|---|
| Punteggio | 95,48515 |
| SourceIp | 96.43.144,26 |
| EventDate | 2019-05-12T12:22:10.298+00:00 |
| UserId | 00530000009M943 |
| Report | 00OD0000001leVCMAY |
| SecurityEventData | (vedere tabella successiva) |
Il campo SecurityEventData conteneva queste informazioni.
| featureName | featureValue | featureContribution |
|---|---|---|
| rowCount | 996262 | 99,37% |
| autonomousSystem | Starbucks Coffee Company | 0,27% |
| dayOfWeek | Domenica | 0,13% |
| averageRowSize | 1507 | 0,06% |
| userAgent | - | 0,02% |
Kate avvia un'indagine per approfondire la questione. Utilizza l'ID utente per determinare se il rapporto รจ stato scaricato usando l'account di John. Quindi cerca gli eventi ReportEvent per John e nota che John ha generato dei rapporti settimanali ma che contengono solo da 500 a 1.000 righe. La tabella mostra che rowCount contribuisce quasi al 100% a questa anomalia. Il valore del contributo della funzione รจ un valore numerico che indica l'importanza di rowCount nel contrassegnare questa attivitร di generazione rapporto come anomalia. Poichรฉ la cronologia indica che John genera costantemente rapporti di piccole dimensioni (500 -1.000 righe), un rapporto con un milione di righe rappresenta una notevole deviazione da quella tendenza. Questo fatto genera il valore elevato del contributo della funzione.
Dopo ulteriori analisi, Kate scopre che l'account di John รจ stato compromesso e che l'hacker ha alzato di livello i privilegi di John per l'accesso in modo da accedere ai dati dell'intero team di vendita. Di conseguenza, il rapporto conteneva lead di vendita per l'intero team anzichรฉ solo i lead assegnati a John.
Kate conclude che questo evento di rilevamento รจ dannoso e adotta ulteriori azioni per mitigare la minaccia.
