---
title: Anomalie
description: Każda polityka, użytkownik, aplikacja i agent AI uczy się własnej linii bazowej, a dzisiejsza aktywność mierzona jest względem niej - z pokrętłem czułości, które przesuwasz i natychmiast widzisz odpowiedź, na swoich prawdziwych danych, bez okresu strojenia.
icon: Activity
---

# Anomalie (Anomalies)

Ekran Anomalii odpowiada na pytanie, które po cichu zadaje sobie każdy zespół bezpieczeństwa: **„Co z tego wszystkiego, co wydarzyło się dzisiaj, jest naprawdę nietypowe - i czy w ogóle bym to zauważył?"** Każda aktywna polityka w Twoim tenancie nieustannie uczy się własnej normy, a gdy dzisiejsza aktywność skacze ponad nią, otwiera się anomalia - bez progów do skonfigurowania, bez reguł do przewidzenia.

## Co Możesz Osiągnąć

<Cards>
  <Card
    title="Złap to, czego nie przewidziała żadna reguła"
    description="Reguły łapią to, co przewidziałeś. Linie bazowe łapią to, czego nie przewidziałeś: coś, co po cichu dopasowywało ~12 zasobów dziennie, a nagle dopasowuje 2000, to anomalia niezależnie od przyczyny - eksfiltracja, źle wystrzelona automatyzacja, zmiana uprawnień o zbyt szerokim zasięgu."
  />
  <Card
    title="Ustaw własną poprzeczkę - i zobacz odpowiedź od razu"
    description="Przesuń pokrętło Czułości alertów, a kolejka odpowiada na nowo natychmiast, względem Twojej prawdziwej historii. Bez okresu strojenia, bez trybu cichego, bez czekania kwartału na to, czy ustawienie było trafne."
  />
  <Card
    title="Zajrzyj poniżej linii alertu"
    description="Inne narzędzia ustalają próg za Ciebie i po cichu odrzucają wszystko poniżej niego. 1Security zachowuje każde znaczące odchylenie od 2 sigma wzwyż jako Info - więc gdy coś prześlizgnie się obok alertów, dowody już na Ciebie czekają."
  />
  <Card
    title="Obsługuj jak kolejkę incydentów"
    description="Anomalie to epizody z cyklem życia i stanem obsługi - otwarta, potwierdzona, odrzucona. Jednodniowy skok, który nocą wraca do normy, zostaje w Twojej kolejce, dopóki człowiek na niego nie spojrzy."
  />
</Cards>

## Dzisiaj, Mierzone Względem Twoich Ostatnich 30 Dni

Porównanie jest celowo proste do wypowiedzenia:

**Dzisiejsza liczba względem mediany z poprzednich 30 dni.**

- **Dzisiaj** to dzisiejsza wartość i jest ona _żywa_ - przeliczana wraz z napływającą aktywnością (w ciągu minut od nowego zdarzenia audytowego), nie raz na dobę. Anomalia, która zaczyna się dziś rano, jest na tym ekranie dziś rano, a jej liczby aktualizują się, dopóki skok trwa.
- **Linia bazowa** to mediana 30 poprzednich dziennych wartości, **z wyłączeniem dzisiaj** - więc skok nigdy po cichu nie podnosi poprzeczki, którą sam ma przekroczyć. Mediana, nie średnia: jeden szalony dzień w przeszłości nigdy nie zatruwa znaczenia „normy".
- **Rozrzut** mierzony jest równie odpornie (medianowe odchylenie bezwzględne), więc „jak bardzo ponad normę" wyrażone jest w Twojej własnej codziennej zmienności, a nie w liczbie, którą ktoś wybrał.
- **Dzienny przebieg kontrolny** sprawdza każdy tenant raz na dobę, więc spokojny dzień też zostaje zapisany jako dzień - linia bazowa z dziurami to linia bazowa, której nie można ufać.

<Callout type="info">
  Detekcja milczy przez pierwsze **14 dni** historii każdego obserwowanego bytu.
  Czternaście dni to moment, w którym mediana i jej rozrzut zaczynają coś
  znaczyć; wcześniej 1Security zbiera dane i milczy, zamiast wymyślać alerty z
  tygodnia obserwacji.
</Callout>

Detekcja jest celowo jednostronna: **flagowane są wyłącznie skoki**. Aktywność spada nieustannie z niegroźnych powodów - spokojne dni, porządki, rozwiązane ustalenia - a kolejka pełna spadków zagrzebałaby skok, który naprawdę ma znaczenie.

## Linia Bazowa Per Polityka, Per Użytkownik, Per Aplikacja, Per Agent

Ta sama maszyneria działa na dwóch poziomach. Anomalie **całej polityki** obserwują łączny wynik detektora - „ta polityka dopasowywała 12 rzeczy dziennie przez miesiąc, dziś dopasowała 2000". Anomalie **per byt** obserwują jednego uczestnika względem jego własnej historii - konkretnego użytkownika, konkretną aplikację zewnętrzną albo konkretnego **agenta AI**.

To ostatnie z każdym kwartałem waży więcej. Zasięg rażenia agenta wyznaczają jego uprawnienia, nie prompt, a „agent finansowy przeczytał dziś czterokrotność swojej zwykłej liczby plików" to dokładnie ten sygnał, którego nikt inny nie jest w stanie dać - wymaga inwentarza agentów, grafu uprawnień i linii bazowej aktywności w jednym produkcie.

<Callout type="info">
  Ponieważ linia bazowa uczona jest per polityka i per byt, „anomalne" zawsze
  znaczy *anomalne dla tego jednego, w tym tenancie*. Pięćset udostępnień plików
  może być zwykłym wtorkiem w jednej organizacji i pięcioalarmowym incydentem w
  innej - ten sam ekran obsługuje oba przypadki bez żadnej konfiguracji.
</Callout>

## Wynik Anomalii i Twoja Linia Alertu

Każda anomalia niesie jeden **wynik** - w przybliżeniu: o ile odchyleń dzisiejsza liczba przewyższa typową zmienność tej polityki lub tego bytu. Płaskie historie dostają wartość statystycznie równoważną (test ogona Poissona dla rzadkich zdarzeń, skok procentowy dla licznych), więc każdy epizod ląduje na jednej porównywalnej skali.

Ta jedna skala umożliwia istnienie **linii alertu**:

- **Na linii lub powyżej** (domyślnie 3.5) - anomalia jest **Alertowana**: trafia do kolejki i powiadamia odbiorców polityki.
- **Między 2.0 a linią** - anomalia zostaje jako **Info**: przechowywana po cichu, nigdy nie powiadamia, dostępna jednym przełącznikiem.
- **Poniżej 2.0** - zwykła zmienność; nic nie jest zapisywane.

## Jedno Pokrętło, Każda Branża - i Zero Okresu Strojenia

Wykrywanie anomalii dostajesz zwykle jako czarną skrzynkę. Próg wybrał ktoś inny, nie widzisz go i nie możesz go ruszyć, a wszystko, co pod niego nie podpadnie, jest wyrzucane, a nie zapisywane - więc krytyczna anomalia potrafi przejść bez śladu, że kiedykolwiek istniała. Zostajesz z jednym z dwóch scenariuszy: albo system alarmuje tak często, że zespół przestaje to czytać, albo milczy - i nie masz jak sprawdzić, o czym postanowił Ci nie powiedzieć. Z zewnątrz te dwie porażki są nie do odróżnienia: ekran, na którym nic nie ma. Strojenie też nie jest bezpieczne, bo nowy próg działa dopiero od jutra: jego zmiana to zakład o kolejny kwartał, więc w większości narzędzi nikt go nigdy nie rusza.

1Security rozdziela tę jedną ukrytą decyzję na dwie. **Co jest nietypowe** jest mierzone i zawsze zapisywane, aż do 2 sigma, niezależnie od tego, czy przekracza Twoją poprzeczkę. **Co zasługuje na alert** to linia, którą przesuwasz. Pełna widoczność z jednej strony, kolejka, którą da się realnie czytać, z drugiej - i nic wyrzuconego pomiędzy.

Kontrolka **Czułość alertów** stoi otwarcie na górze tego ekranu, a nie schowana w ustawieniach, bo to ustawienie, którego inne narzędzia nigdy nie oddają w Twoje ręce. Przesuń ją, a klasyfikacja przelicza się **w momencie odczytu, względem Twojej prawdziwej historii**: puść suwak, a liczniki Alertowanych i Info obok niego odpowiadają na nowo od razu, razem z przeładowanymi kolejkami.

Ma to konsekwencję, którą warto nazwać wprost. Strojenie detekcji zwykle kosztuje kwartał: wybierasz próg, uruchamiasz go w trybie cichym, czekasz, co złapie i czym Cię zaleje, i poprawiasz. Tutaj czekanie znika, bo historia jest już oceniona - obniżenie linii nie zaczyna zbierać inaczej, tylko **przelicza na nowo to, co już zostało złapane**.

- **Bank, szpital albo kancelaria** ściąga linię w dół, ku 2.0. Wszystko, co detektor kiedykolwiek uznał za godne uwagi, staje się Alertowane - wstecznie - a audytowe pytanie _„czy byśmy to zobaczyli?"_ rozstrzyga się przez sprawdzenie, nie przez nadzieję.
- **Agencja marketingowa albo 30-osobowy startup** przesuwa ją ku swobodnemu końcowi. Kolejka kurczy się do garstki epizodów wartych uwagi człowieka, a nic nie znika: wszystko poniżej linii nadal siedzi w Info na dzień, w którym stanie się istotne.
- **Oba przypadki to ten sam tenant, te same dane i ten sam detektor.** Organizacja regulowana i ta swobodna nie używają różnych produktów - używają tego samego, z pokrętłem w innym miejscu.

<Callout type="info">
  Śledztwo, które to otwiera: *„chyba coś nam umknęło w zeszłym tygodniu"*.
  Obniż linię, przefiltruj po tym tygodniu i zobacz, co już zostało zapisane
  poniżej Twojego dawnego progu. Potem podnieś ją z powrotem - przesuwanie
  pokrętła nigdy nie niszczy danych, w żadną stronę.
</Callout>

## Epizody, Nie Zdarzenia

Anomalia to **epizod**: otwiera się, gdy licznik przełamuje linię, śledzi swój szczyt, dopóki skok trwa, i zapisuje moment powrotu metryki do normy. Zakończenie to fakt o metryce, nie werdykt o incydencie - epizod, którego skok się skończył, nadal siedzi w kolejce Otwartych, dopóki go nie **potwierdzisz** albo nie **odrzucisz**. Jedno powiadomienie na epizod, nie na dzień.

Każdy wiersz zaczyna się od **detektora, który zadziałał**, a pod nim stoi dotknięty byt - konkretny użytkownik, aplikacja albo agent AI dla anomalii per byt, typ zasobu dla anomalii całej polityki. Reszta wiersza niesie istotność, 30-dniowy wykres metryki, sam skok (linia bazowa → obecnie i skok procentowy), wynik oraz czas ostatniej detekcji i zakończenia. Przejdź do trendu stojącego za detektorem albo do szuflady szczegółów samego bytu.

## Filtrowanie w Głębi

Zawsze widoczne kontrolki tną kolejkę po poziomie (**Alertowane / Info**) i stanie obsługi (**Otwarte / Potwierdzone / Odrzucone**); szuflada filtrów zawęża dalej po **istotności**, **statusie**, **typie zasobu** - pliki, witryny, grupy, użytkownicy, poczta, aplikacje i agenci AI - oraz **zakresie dat detekcji**. Każda opcja niesie żywy licznik dla aktualnie oglądanego poziomu, więc widzisz, ile kryje się za danym cięciem, zanim je wykonasz.

<Callout type="info">
  Wzorzec śledczy wart zapamiętania: po każdym incydencie gdziekolwiek w
  tenancie przełącz się na **Info**, przefiltruj po typie zasobu i zakresie dat
  incydentu - słabe sygnały zapisane w tym czasie to najtańszy materiał
  dowodowy, jaki posiadasz. Jeśli zasługują na awans, obniż linię alertu, a
  staną się Alertowane, razem z całą historią.
</Callout>