Anomalie (Anomalies)

Ekran Anomalii odpowiada na pytanie, które po cichu zadaje sobie każdy zespół bezpieczeństwa: „Co z tego wszystkiego, co wydarzyło się dzisiaj, jest naprawdę nietypowe - i czy w ogóle bym to zauważył?" Każda aktywna polityka w Twoim tenancie nieustannie uczy się własnej normy, a gdy dzisiejsza aktywność skacze ponad nią, otwiera się anomalia - bez progów do skonfigurowania, bez reguł do przewidzenia.

Co Możesz Osiągnąć

Dzisiaj, Mierzone Względem Twoich Ostatnich 30 Dni

Porównanie jest celowo proste do wypowiedzenia:

Dzisiejsza liczba względem mediany z poprzednich 30 dni.

• Dzisiaj to dzisiejsza wartość i jest ona żywa - przeliczana wraz z napływającą aktywnością (w ciągu minut od nowego zdarzenia audytowego), nie raz na dobę. Anomalia, która zaczyna się dziś rano, jest na tym ekranie dziś rano, a jej liczby aktualizują się, dopóki skok trwa.
• Linia bazowa to mediana 30 poprzednich dziennych wartości, z wyłączeniem dzisiaj - więc skok nigdy po cichu nie podnosi poprzeczki, którą sam ma przekroczyć. Mediana, nie średnia: jeden szalony dzień w przeszłości nigdy nie zatruwa znaczenia „normy".
• Rozrzut mierzony jest równie odpornie (medianowe odchylenie bezwzględne), więc „jak bardzo ponad normę" wyrażone jest w Twojej własnej codziennej zmienności, a nie w liczbie, którą ktoś wybrał.
• Dzienny przebieg kontrolny sprawdza każdy tenant raz na dobę, więc spokojny dzień też zostaje zapisany jako dzień - linia bazowa z dziurami to linia bazowa, której nie można ufać.

Detekcja jest celowo jednostronna: flagowane są wyłącznie skoki. Aktywność spada nieustannie z niegroźnych powodów - spokojne dni, porządki, rozwiązane ustalenia - a kolejka pełna spadków zagrzebałaby skok, który naprawdę ma znaczenie.

Linia Bazowa Per Polityka, Per Użytkownik, Per Aplikacja, Per Agent

Ta sama maszyneria działa na dwóch poziomach. Anomalie całej polityki obserwują łączny wynik detektora - „ta polityka dopasowywała 12 rzeczy dziennie przez miesiąc, dziś dopasowała 2000". Anomalie per byt obserwują jednego uczestnika względem jego własnej historii - konkretnego użytkownika, konkretną aplikację zewnętrzną albo konkretnego agenta AI.

To ostatnie z każdym kwartałem waży więcej. Zasięg rażenia agenta wyznaczają jego uprawnienia, nie prompt, a „agent finansowy przeczytał dziś czterokrotność swojej zwykłej liczby plików" to dokładnie ten sygnał, którego nikt inny nie jest w stanie dać - wymaga inwentarza agentów, grafu uprawnień i linii bazowej aktywności w jednym produkcie.

Wynik Anomalii i Twoja Linia Alertu

Każda anomalia niesie jeden wynik - w przybliżeniu: o ile odchyleń dzisiejsza liczba przewyższa typową zmienność tej polityki lub tego bytu. Płaskie historie dostają wartość statystycznie równoważną (test ogona Poissona dla rzadkich zdarzeń, skok procentowy dla licznych), więc każdy epizod ląduje na jednej porównywalnej skali.

Ta jedna skala umożliwia istnienie linii alertu:

• Na linii lub powyżej (domyślnie 3.5) - anomalia jest Alertowana: trafia do kolejki i powiadamia odbiorców polityki.
• Między 2.0 a linią - anomalia zostaje jako Info: przechowywana po cichu, nigdy nie powiadamia, dostępna jednym przełącznikiem.
• Poniżej 2.0 - zwykła zmienność; nic nie jest zapisywane.

Jedno Pokrętło, Każda Branża - i Zero Okresu Strojenia

Wykrywanie anomalii dostajesz zwykle jako czarną skrzynkę. Próg wybrał ktoś inny, nie widzisz go i nie możesz go ruszyć, a wszystko, co pod niego nie podpadnie, jest wyrzucane, a nie zapisywane - więc krytyczna anomalia potrafi przejść bez śladu, że kiedykolwiek istniała. Zostajesz z jednym z dwóch scenariuszy: albo system alarmuje tak często, że zespół przestaje to czytać, albo milczy - i nie masz jak sprawdzić, o czym postanowił Ci nie powiedzieć. Z zewnątrz te dwie porażki są nie do odróżnienia: ekran, na którym nic nie ma. Strojenie też nie jest bezpieczne, bo nowy próg działa dopiero od jutra: jego zmiana to zakład o kolejny kwartał, więc w większości narzędzi nikt go nigdy nie rusza.

1Security rozdziela tę jedną ukrytą decyzję na dwie. Co jest nietypowe jest mierzone i zawsze zapisywane, aż do 2 sigma, niezależnie od tego, czy przekracza Twoją poprzeczkę. Co zasługuje na alert to linia, którą przesuwasz. Pełna widoczność z jednej strony, kolejka, którą da się realnie czytać, z drugiej - i nic wyrzuconego pomiędzy.

Kontrolka Czułość alertów stoi otwarcie na górze tego ekranu, a nie schowana w ustawieniach, bo to ustawienie, którego inne narzędzia nigdy nie oddają w Twoje ręce. Przesuń ją, a klasyfikacja przelicza się w momencie odczytu, względem Twojej prawdziwej historii: puść suwak, a liczniki Alertowanych i Info obok niego odpowiadają na nowo od razu, razem z przeładowanymi kolejkami.

Ma to konsekwencję, którą warto nazwać wprost. Strojenie detekcji zwykle kosztuje kwartał: wybierasz próg, uruchamiasz go w trybie cichym, czekasz, co złapie i czym Cię zaleje, i poprawiasz. Tutaj czekanie znika, bo historia jest już oceniona - obniżenie linii nie zaczyna zbierać inaczej, tylko przelicza na nowo to, co już zostało złapane.

• Bank, szpital albo kancelaria ściąga linię w dół, ku 2.0. Wszystko, co detektor kiedykolwiek uznał za godne uwagi, staje się Alertowane - wstecznie - a audytowe pytanie „czy byśmy to zobaczyli?" rozstrzyga się przez sprawdzenie, nie przez nadzieję.
• Agencja marketingowa albo 30-osobowy startup przesuwa ją ku swobodnemu końcowi. Kolejka kurczy się do garstki epizodów wartych uwagi człowieka, a nic nie znika: wszystko poniżej linii nadal siedzi w Info na dzień, w którym stanie się istotne.
• Oba przypadki to ten sam tenant, te same dane i ten sam detektor. Organizacja regulowana i ta swobodna nie używają różnych produktów - używają tego samego, z pokrętłem w innym miejscu.

Epizody, Nie Zdarzenia

Anomalia to epizod: otwiera się, gdy licznik przełamuje linię, śledzi swój szczyt, dopóki skok trwa, i zapisuje moment powrotu metryki do normy. Zakończenie to fakt o metryce, nie werdykt o incydencie - epizod, którego skok się skończył, nadal siedzi w kolejce Otwartych, dopóki go nie potwierdzisz albo nie odrzucisz. Jedno powiadomienie na epizod, nie na dzień.

Każdy wiersz zaczyna się od detektora, który zadziałał, a pod nim stoi dotknięty byt - konkretny użytkownik, aplikacja albo agent AI dla anomalii per byt, typ zasobu dla anomalii całej polityki. Reszta wiersza niesie istotność, 30-dniowy wykres metryki, sam skok (linia bazowa → obecnie i skok procentowy), wynik oraz czas ostatniej detekcji i zakończenia. Przejdź do trendu stojącego za detektorem albo do szuflady szczegółów samego bytu.

Filtrowanie w Głębi

Zawsze widoczne kontrolki tną kolejkę po poziomie (Alertowane / Info) i stanie obsługi (Otwarte / Potwierdzone / Odrzucone); szuflada filtrów zawęża dalej po istotności, statusie, typie zasobu - pliki, witryny, grupy, użytkownicy, poczta, aplikacje i agenci AI - oraz zakresie dat detekcji. Każda opcja niesie żywy licznik dla aktualnie oglądanego poziomu, więc widzisz, ile kryje się za danym cięciem, zanim je wykonasz.