Ürün kılavuzu

Davranış Analizi

Cihazın kendi referansına uymayan endpoint kullanıcı ve süreç davranışını tespit edin.

Davranış Analizi Nedir#

Davranış analizi, o endpoint’in normalde yaptığına uymayan aktiviteyi arar. Bunun nedeni, en çok zarar veren aktivitenin genellikle kendisi kötü amaçlı olmayan araçlarla yapılmasıdır: meşru bir yönetim aracını yanlış kişinin yanlış zamanda kullanması.

Referans duruş endpoint bazlıdır. Hiç değişmeyen bir sunucudaki değişiklik anlamlı sayılır; aynı değişiklik bir geliştirici iş istasyonunda rutin olabilir.

Davranış analizi paneli — Verimlilik oranı, kategoriye göre aktivite süresi ve filo aktivite zaman çizelgesi.

Davranış Sinyalleri#

Çoğu olağandışı endpoint davranışını beş sinyal ailesi tanımlar:

Sinyal	Neyi arar
Olağandışı süreç	Bu endpoint’te daha önce görülmemiş, özellikle beklenmedik üst sürece sahip bir süreç.
Olağandışı üst-alt zincir	Normalde başlatmadığı bir süreci başlatan uygulama; belge okuyucunun kabuk başlatması gibi.
Olağandışı oturum açma	Endpoint’in normal desenine uymayan saatte, kaynaktan veya kullanıcıyla yapılan oturum açma.
Olağandışı hacim	Endpoint’in referansına göre çok sayıda dosya işlemi, bağlantı veya aktarım.
Olağandışı kalıcılık	Değişiklik penceresi dışında kaydedilen yeni başlangıç öğesi, zamanlanmış görev veya servis.

İzolasyon değil kombinasyon

Tek bir olağandışı süreç zayıf kanıttır. Olağandışı bir üst sürecin aynı dakikada başlattığı ve yeni bir başlangıç öğesi yazan olağandışı süreç ise güçlü sinyaldir.

Puanlama ve Önem#

Önem derecesi, davranışın global ortalamadan değil endpoint’in kendi referansından ne kadar saptığını yansıtır.
Hiç değişmeyen bir sunucudaki sapma, aynı sapmanın geliştirici iş istasyonunda olmasından daha anlamlıdır.
Aynı endpoint’te kısa bir pencerede birden fazla zayıf sinyal birlikte üretilir; çünkü asıl sinyal bunların birleşimidir.
Puan bakmanız için bir uyarıdır, hüküm değil. Platform bir endpoint’i ele geçirilmiş olarak etiketlemez.

Müdahale#

1
Referansı doğrulayın
Davranışın gerçekten yeni olup olmadığını kontrol edin. Bir yazılım dağıtımı, tüm endpoint’lerde süreç desenini birden değiştirebilir.
2
Zaman çizelgesini okuyun
Endpoint’in adli zaman çizelgesini açın ve sinyal etrafındaki olayların sırasını yeniden kurun.
3
Kullanıcıyı kontrol edin
Hangi işletim sistemi kullanıcısının etkin olduğunu doğrulayın. Yanlış hesaba atfedilen davranış yanlış sonuca götürür.
4
Karar verin ve kaydedin
Ya davranışı beklenen kabul edip nedenini belgeleyin ya da zaman çizelgesini ekleyerek olay süreciniz üzerinden yükseltin.

Yalnızca puana göre izole etmeyin

Bir endpoint’i izole etmek kullanıcıyı kesintiye uğratır. Yıkıcı bir işlem yapmadan önce davranışı zaman çizelgesi ve kullanıcı ile doğrulayın.

Sık Sorulan Sorular#

Bu makine öğrenmesi mi?

Modül, gözlenen davranışı endpoint’in kendi kayıtlı referansıyla karşılaştırır. Sapmaları ve bunların birleşimini raporlar; otonom bir hüküm üretmez.

Yeni bir endpoint neden çok sinyal üretir?

Yeni endpoint’in referans geçmişi azdır; bu nedenle normal davranış yeni görünür. Endpoint bir süre gözlendikten sonra sinyaller oturur.

Davranış analizi endpoint korumasının yerini alır mı?

Hayır. İmza tabanlı tespiti tamamlar; bilinen kötü amaçlı dosyası olmayan olağandışı süreç zinciri gibi imzaların tanımlayamadığı davranışları raporlar.

Düşük önem dereceli bir sinyalle ne yapmalıyım?

Aynı endpoint’teki diğer sinyaller bağlamında okuyun. Birlikte görünen düşük önem dereceli sinyaller, tek başına yüksek önem dereceli bir sinyalden genellikle daha anlamlıdır.