wykrywanie anomalii Microsoft 365
Jedno konto pobrało dziś 340 plików. Jego norma to 12. Flagujemy to w minuty.
W dzierżawie na kilka tysięcy osób codziennie dzieje się coś nietypowego - użytkownik, aplikacja albo agent AI robi 10x, 30x, 100x tego, co robił miesiąc temu. 1Security uczy się linii bazowej dla każdego konta, aplikacji, agenta i polityki z ich własnych ostatnich 30 dni, ocenia dzisiejszy dzień na bieżąco, gdy spływają zdarzenia, i zachowuje każde odchylenie - więc kolejka zawiera to, co nietypowe dla Twojej dzierżawy, a nie to, co akurat złapał cudzy próg.
- 30 dniwłasnej historii każdego konta za każdym werdyktem - dzisiaj mierzone względem mediany poprzednich trzydziestu dni
- 10 minod nowego zdarzenia audytu do zaktualizowanej oceny - anomalia, która zaczyna się rano, jest na ekranie rano
- 0progów do skonfigurowania - jeden suwak czułości alertów, przesuwany jawnie, przelicza Twoją prawdziwą historię w chwili, gdy go puścisz
Problem
Reguła łapie to, co przewidziałeś. Większości incydentów nikt nie przewidział.
Sztywne progi pasują do jednego zespołu i mylą się w każdym innym; linie bazowe uczone per konto pasują do każdego.
Każde masowe pobieranie, źle odpalona automatyzacja i zbyt szeroka zmiana uprawnień z daleka wyglądają tak samo: liczba, która była mała, a nagle nie jest. Księgowa pobierająca 40 plików to rutyna, gdy jej linia bazowa to 38, i incydent, gdy to 3. Reguła z jednym progiem dla całej dzierżawy nie rozróżni tych dwóch przypadków, więc albo odpala się cały dzień, albo przegapia ten jeden, który miał znaczenie.
Typowy skutek to kolejka, której nikt nie czyta, albo kolejka, która milczy bez sposobu, by sprawdzić, czego postanowiła nie powiedzieć. Strojenie pomaga tylko w przód - nowy próg to zakład o następny kwartał, uruchamiany w trybie cienia, aż ktoś znajdzie czas. W praktyce próg ustawia się raz i nigdy więcej nie dotyka.
1Security dzieli tę decyzję na dwie. Co jest nietypowe - mierzone dla każdego konta, aplikacji, agenta i polityki względem ich własnej historii i zawsze zapisywane, aż do dwóch sigm, niezależnie od tego, czy przekracza Twoją poprzeczkę. Co zasługuje na alert - linia, którą przesuwasz jawnie na górze ekranu, a jej przesunięcie przelicza historię, którą już masz, więc efekt widzisz od razu.
Co dostajesz
Linia bazowa dla każdego konta, aplikacji, agenta i polityki
Nietypowe znaczy nietypowe dla tego jednego, w tej dzierżawie. Pięćset udostępnień plików to zwykły wtorek w jednym zespole i alarm w drugim.
Dziś względem ostatnich 30 dni
Dzisiejsza liczba względem mediany poprzednich trzydziestu wartości dziennych, z wyłączeniem dzisiaj, więc skok nigdy nie podniesie poprzeczki, według której jest oceniany.
Statystyka odporna, nie średnie
Mediana i medianowe odchylenie bezwzględne: jeden dziwny dzień z przeszłości nigdy nie zatruje tego, co znaczy "normalnie", a rozrzut to Twoja własna zmienność, nie liczba, którą ktoś wybrał.
Ocena w miarę napływu zdarzeń
Dzisiejsza liczba jest przeliczana w ciągu minut od nowego zdarzenia audytu, nie raz na noc. 340 pobrań pojawia się jako anomalia, gdy jeszcze trwają.
Linie bazowe per byt
Konkretny użytkownik, konkretna aplikacja zewnętrzna, konkretny agent AI, konkretna polityka - każde mierzone względem własnej historii, a nie względem populacji.
Wszystko poniżej linii zostaje
Między dwoma sigmami a Twoją linią alertu odchylenia są zapisywane jako Info. Kiedy coś prześlizgnie się obok alertów, dowód już istnieje - przefiltruj do zeszłego tygodnia i przeczytaj.
Epizody, nie wiersze
Anomalia się otwiera, śledzi swój szczyt i zapisuje, kiedy metryka wróciła do normy. Trzydniowy skok to jeden epizod z jednym powiadomieniem i zostaje w otwartej kolejce, aż człowiek go potwierdzi lub odrzuci.
Jak głęboko to sięga
Jeden suwak, dwie zupełnie różne organizacje
Przesuń suwak czułości alertów, a klasyfikacja przeliczy się w chwili odczytu, na Twojej prawdziwej historii. Puść suwak, a liczniki alertów i info obok niego odpowiedzą od razu.
Bank, szpital albo kancelaria zsuwa linię w dół, w stronę dwóch sigm. Wszystko, co detektor kiedykolwiek uznał za warte uwagi, staje się alertem, wstecz, a pytanie audytowe - czy byśmy to zobaczyli - dostaje odpowiedź przez patrzenie, a nie przez nadzieję.
Agencja marketingowa albo trzydziestoosobowy startup przesuwa linię w stronę luźnego końca. Kolejka kurczy się do garstki epizodów wartych uwagi człowieka i nic nie ginie: wszystko pod linią wciąż leży w Info na dzień, w którym stanie się istotne.
To ta sama dzierżawa, te same dane i ten sam detektor, tylko suwak w innym miejscu. Umożliwia to też ruch śledczy, który liczy się najbardziej po incydencie: "chyba coś przegapiliśmy w zeszłym tygodniu" - obniż linię, przefiltruj do tamtego tygodnia i przeczytaj, co już zostało zapisane poniżej Twojej starej poprzeczki. W typowej dzierżawie ten pierwszy rzut oka wydobywa garść epizodów wartych drugiego spojrzenia.
W praktyce
Skok od pierwszego zdarzenia do zamkniętego epizodu
Co admin faktycznie robi w Anomaliach, kiedy jakaś liczba wygląda źle.
- 01
Otwórz kolejkę przefiltrowaną do Alertów
Anomalie otwierają się na otwartych epizodach powyżej Twojej linii alertu, od najnowszych: "Pobrania użytkownika - 340 dziś, linia bazowa 12, szczyt 09:40". Waga, trzydziestodniowy sparkline i skok od linii bazowej do stanu obecnego siedzą w każdym wierszu.
- 02
Przeczytaj konto, nie tylko liczbę
Jedno kliknięcie otwiera użytkownika, aplikację lub agenta za epizodem: po co sięga, urządzenie i lokalizacja dzisiejszej aktywności oraz pełny trend za detektorem. "4x zwykłej liczby plików" przychodzi z listą tych plików.
- 03
Zdecyduj, a kolejka zapamięta
Potwierdź lub odrzuć epizod; eskaluj ze zdarzeniami w załączeniu albo przygotuj naprawę - wygaś linki, odbierz dostęp, wyłącz konto - za oknem przeglądu. Skok, który skończył się w nocy, i tak czeka, aż ktoś na niego spojrzy.
- 04
Przesuń suwak, gdy zmieni się Twój apetyt
Nowy regulator, nowy audytor, nowy kwartał: przeciągnij suwak czułości, a liczniki odpowiedzą natychmiast na historii, która już została oceniona. Bez trybu cienia, bez czekania, co złapałoby nowe ustawienie.
Co wyróżnia
Dlaczego agenci AI czynią z tego właściwy projekt
Promień rażenia agenta to jego uprawnienia, nie jego prompt. Pilnowanie tego wymaga trzech rzeczy w jednym miejscu.
- Inwentaryzacja agentów AI, żeby byt z linią bazową był realnym, zarządzanym obiektem
- Graf uprawnień, żeby zasięg agenta lub konta był rozwiązany, a nie zgadywany
- Linia bazowa aktywności, żeby "cztery razy zwykła liczba plików" było zdaniem z liczbą za sobą
- Anomalie per byt dla użytkowników, aplikacji zewnętrznych i agentów AI, na jednej porównywalnej skali
- Statystycznie równoważna ocena dla płaskich historii i rzadkich zdarzeń, żeby jeden suwak rządził wszystkimi
- Waga, trzydziestodniowy sparkline i skok od linii bazowej do stanu obecnego w każdym wierszu
- Filtry po poziomie, stanie triażu, wadze, typie zasobu i dacie wykrycia, każdy z żywymi licznikami
- Pełny trend za detektorem i dziennik aktywności konta jedno kliknięcie od anomalii
Metoda
Jedna skala, każdy rodzaj historii
Płaskie historie dostają statystycznie równoważną wartość - test ogona Poissona dla rzadkich zdarzeń, skok procentowy dla wysokowolumenowych - więc każdy epizod ląduje na tej samej skali i jeden suwak może rządzić wszystkimi. Wykrywanie jest celowo jednostronne: flagowane są tylko skoki, bo aktywność spada ciągle z niegroźnych powodów, a kolejka pełna dołków zakopałaby skok, który ma znaczenie.
- 2,0 sigmapróg, poniżej którego nic nie jest zapisywane - wszystko powyżej zostaje jako Info lub Alert
- 3,5domyślna linia alertu i możesz ją przesunąć w każdej chwili
- 14 dnihistorii, zanim wykrywanie cokolwiek powie - mediana i rozrzut potrzebują tyle, żeby coś znaczyć
Powiązane
Gdzie to pasuje
Anomalie mierzą odchylenie od linii bazowej. Aktywności szeregują absolutne skrajności - kto pobrał najwięcej w tej godzinie, które witryny nietknięte od roku. Alerty niosą wynik do człowieka. Te trzy to jeden system, nie trzy produkty.
Analityka aktywności
Rankingi absolutne: kto pobrał 4 000 plików w tym tygodniu, których witryn nikt nie otworzył od roku - z oknami 1, 12 i 24 godzin.
Zobacz aktywności →Alerty
Jeden model alertów dla polityk, aktywności i anomalii: e-mail o 14:07 o skoku, który zaczął się o 14:02, z kontem i urządzeniem.
Zobacz alerty →Inwentaryzacja agentów AI
Zarządzana populacja, dla której liczone są linie bazowe per agent - każdy agent z tym, co może czytać.
Zobacz agentów →
FAQ
Pytania, które zespoły zadają najpierw
Czy muszę konfigurować progi per polityka albo per użytkownik?
Nie. Każda polityka i każdy byt uczy się własnej linii bazowej z ostatnich trzydziestu dni, więc nie ma czego przewidywać. Jedynym globalnym ustawieniem jest linia czułości alertów, a jej domyślne 3,5 nadaje się do użycia od pierwszego dnia.
Co się dzieje, gdy przesunę suwak czułości?
Klasyfikacja przelicza się w chwili odczytu na historii, która już została oceniona. Liczniki alertów i info odpowiadają, gdy tylko puścisz suwak, a kolejki wypełniają się na nowo. Nic nie jest kasowane w żadną stronę.
Ile czasu mija, zanim zacznie wykrywać?
Czternaście dni dla wszystkiego, co obserwuje - tyle potrzebują mediana i rozrzut, żeby coś znaczyć. Wcześniej 1Security zbiera po cichu, zamiast wymyślać alerty z tygodnia danych. Cała reszta platformy działa od pierwszego skanu.
Dlaczego spadki nie są flagowane?
Bo aktywność spada ciągle z niegroźnych powodów - spokojne dni, porządki, rozwiązane wnioski - a kolejka pełna dołków zakopałaby skok, który ma znaczenie. Wykrywanie jest jednostronne z założenia; pytanie o uśpienie ma swoją odpowiedź na ekranie Aktywności i w filtrach cyklu życia.
Czy anomalia może dotyczyć jednego agenta AI?
Tak. Linie bazowe per byt obejmują użytkowników, aplikacje zewnętrzne i agentów AI. "Agent finansów przeczytał dziś cztery razy więcej plików niż zwykle" to dokładnie ten sygnał, który razem umożliwiają inwentaryzacja agentów, graf uprawnień i linia bazowa aktywności.
Zobacz, co było nietypowe w Twojej dzierżawie w tym tygodniu.
Podłącz w trybie tylko do odczytu, a linie bazowe zaczną się budować tego samego dnia. Dwa tygodnie później kolejka jest prawdziwa, suwak czułości jest pierwszą rzeczą na ekranie, a poranek z 340 pobraniami to epizod z właścicielem - nie wiersz w eksporcie.
Albo dalej zgaduj, który skok był tym ważnym.